Python 2 のサポート終了（2020年1月1日）が迫っているため、CAPEv1 は段階的に廃止されます。できるだけ早く Python 3 バージョンにアップグレードしてください。
CAPE はマルウェアサンドボックスです。Cuckoo から派生し、マルウェアからペイロードと設定を抽出することを目的としてマルウェア分析のプロセスを自動化するように設計されています。これにより、CAPE はペイロードシグネチャに基づいてマルウェアを検出できるだけでなく、マルウェアリバースエンジニアリングと脅威インテリジェンスの多くの目標を自動化できます。
誰でも無料で試せるコミュニティバージョンがオンラインにあります：
https://cape.contextis.com/submit
CAPE は、サンプルに対する最初の実行から、多くのマルウェアの手法や動作、さらには特定のマルウェアファミリーを検出できます。この検出により、特定のパッケージを使用したさらなる実行がトリガーされ、マルウェアのペイロードと場合によってはその設定を抽出し、さらなる分析を行うことができます。
CAPE は、独自のデバッガと API フックを介してマルウェアを制御することで動作します。CAPE パッケージをトリガーする検出は、API または Yara シグネチャに基づくことができます。デバッガは Yara シグネチャまたは API フックを使用して、個々の命令、メモリ領域、または関数呼び出しにブレークポイントを設定できるようにします。関心のある領域に到達すると、操作およびダンプして処理と分析、場合によっては設定の解析を行うことができます。
CAPE が検出し、パッケージを提供している手法や動作は次のとおりです：
これらの動作のためのパッケージは、注入、抽出、または展開されたペイロードをダンプし、さらなる分析に供します。これは多くの場合、アンパックされた形式のマルウェアペイロードです。
CAPE は、各プロセスのプロセスダンプ、または DLL の場合は DLL のモジュールイメージを自動的に作成します。これは、単純なパッカーでパックされたサンプルに有用であり、多くの場合、モジュールイメージダンプは完全にアンパックされます。Yara シグネチャはプロセスダンプでトリガーされ、特定のパッケージでのサブミッションや設定解析につながる可能性があります。
CAPE には、マルウェア作成者に非常に人気のある「ハッキングされた」（改変された）UPX を使用するサンプルを動的にアンパックできるパッケージもあります。これらのサンプルは、CAPE のデバッガ内で OEP（元のエントリポイント）まで実行され、そこでダンプ、修正され、インポートが自動的に再構築されて分析可能になります。
現在、CAPE は以下のマルウェアファミリーの設定とペイロードをダンプする特定のパッケージを提供しています：
CAPE は以下のマルウェアファミリーの設定パーサー/デコーダーを備えており、これらのペイロードは行動パッケージによって自動的に抽出されます：
他の多くのマルウェアファミリーも、行動パッケージによってペイロードが自動的に抽出され、CAPE は Yara シグネチャを使用してペイロードを検出します。このリストは増え続けており、以下が含まれます：
設定データは、ファミリーパッケージから出力される場合もあれば、行動パッケージから得られるペイロードに含まれる場合もあります。その後、Yara ベースの検出と、CAPE の設定解析フレームワークのいずれか（malwareconfig.com の RATDecoders フレームワークと DC3-MWCP（Defense Cyber Crime Center - Malware Configuration Parser））に基づく設定解析が実行されます。malwareconfig.com の多数のパーサー/デコーダーも含まれており、その中には Sakula、DarkComet、PredatorPain、PoisonIvy などがあります。このフレームワークとパーサーを提供してくれた Kevin Breen/TechAnarchy（https://github.com/kevthehermit/RATDecoders）と、DC3 のフレームワーク（https://github.com/Defense-Cyber-Crime-Center/DC3-MWCP）に感謝します。TrickBot パーサーについては Jason Reaves（@sysopfb）に、PlugX パーサーについては Fabien Perigaud に特に感謝します。
ユーティリティパッケージも含まれています：'DumpOnAPI' は、Web インターフェースで指定できる特定の API 関数を呼び出したときにモジュールをダンプできます。'DumpConfigRegion' は、よく使われる API 呼び出しに対して、C2 情報やその他の設定データを含むメモリ領域をダンプできます。これらのパッケージは、新しいサンプルや設定を迅速にアンパック/ダンプするのに役立ちます。'Trace' パッケージは、命令に設定する4つのブレークポイント（RVA 値）を受け入れることでデバッガに素早くアクセスでき、短い命令トレースが出力されます。オプションの 'base-on-api' パラメータを使用すると、API 呼び出しによってイメージベースを設定できます。
CAPE デバッガは、メモリアドレスまたは領域の読み取り、書き込み、実行にブレークポイントを設定できるほか、シングルステップモードもサポートしています。これにより、コードや設定データを含む関心のあるメモリ領域をダンプできるようになるまで、マルウェアの実行を細かく制御できます。ブレークポイントは、パッケージコード、API フック、または Yara シグネチャによって動的に設定できます。組み込みの distorm ライブラリのおかげで、デバッガはシングルステップモード中やブレークポイントがヒットしたときに命令の逆アセンブルを出力し、命令トレースを生成できます。
プロセス、モジュール、メモリ領域は、シンプルな API を使用して CAPE によってさまざまにダンプできます。これらのダンプは、設定情報をスキャンおよび解析できます。実行可能モジュールはダンプ時に修正され、インポートが自動的に再構築されることもあります（Scylla に基づく：https://github.com/NtQuery/Scylla）。パッケージは、API フック、CAPE デバッガ、またはその両方の組み合わせに基づいて記述できます。現在、他の多くの行動パッケージやマルウェアファミリーパッケージ、パーサーが開発中ですので、ご注目ください。
これらのパッケージの基盤を形成するモニター DLL のコードを含むリポジトリは別にあります：https://github.com/ctxis/capemon。このリポジトリは、さまざまなパッケージ用にブランチで構成されています。
CAPE は spender-sandbox（https://github.com/spender-sandbox）から派生しており、spender-sandbox は Cuckoo Sandbox（https://github.com/cuckoosandbox）から派生しています。Brad Spengler、Claudio Guarnieri、Jurriaan Bremer、そしてこの作業を可能にした数え切れないほどの Cuckoo コントリビューターに感謝します。また、VirusTotal の Yara（https://github.com/VirusTotal/yara）にも依存しています。oletools を提供してくれた Decalage（@decalage2）、PDF ツールを提供してくれた Didier Stevens と peepdf（@peepdf）、Vba2Graph を提供してくれた MalwareCantFly、binGraph を提供してくれた Matt Holley（@mrmolley）に感謝します。また、サポートと貢献に対して doomedraven（@D00m3dR4v3n）、Sandor Nemes（@sandornemes）、Kevin Ross、Enzo（@enzok）にも多大な感謝を捧げます。
このプロジェクトに貢献してください。新しいマルウェアファミリー、パッカー、手法、または設定パーサー用のパッケージを作成するのを手伝ってください。または、CAPE 開発の詳細については @CapeSandbox または Kevin O'Reilly にお問い合わせください。
sudo ./kvm-qemu.sh all <username>sudo ./cuckoo.sh all cape* すべてのスクリプトには help -h が含まれていますが、スクリプトが何を行っているかを理解するために確認してください。