CAPEsolo

Python GUI로 standalone VM에서 capemon을 실행합니다. CAPE(Configuration And Payload Extraction) 처리 및 결과의 일부를 제공합니다.

• 멀웨어 실행에 적합한 Windows 10 VM을 생성합니다.
  • 구성 세부 사항은 CAPEv2 guest 가이드를 참조하십시오.
  • https://capev2.readthedocs.io/en/latest/installation/guest/index.html
• VM에 Python을 설치합니다. 64비트 Python 버전 3.11, 3.12, 3.12에서 테스트되었습니다. Python을 path에 추가합니다.
• Microsoft Visual C++ Redistributable 두 가지를 모두 다운로드하여 설치합니다:
  • https://aka.ms/vs/17/release/vc_redist.x86.exe
  • https://aka.ms/vs/17/release/vc_redist.x64.exe
• CAPEsolo를 설치합니다.
  • pip install CAPEsolo
• VM을 스냅샷합니다.

빠른 시작

• 관리자 명령 창을 엽니다.
• capesolo 를 입력하여 실행합니다.

또는 CAPEsolo.exe에 대한 바로 가기를 생성할 수 있습니다. 이 파일은 python.exe 파일과 같은 위치의 Scripts 하위 디렉터리에 있습니다.

• 고급에서 '관리자 권한으로 실행'을 선택합니다.
• 아이콘 파일은 site-packages 아래의 CAPEsolo 설치 폴더에서 사용할 수 있습니다.

분석 결과는 C:\Users\Public\CAPEsolo\analysis에서 확인할 수 있습니다.

• C:\Users\Public\CAPEsolo\cfg.ini에서 구성할 수 있습니다.
• 이곳의 설정은 python-path\site-packages\CAPEsolo\cfg.ini에 있는 패키지 기본값을 재정의하며, 패키지 복사본을 덮어쓰는 pip install --upgrade CAPEsolo 후에도 유지됩니다.
• 변경하려는 키만 포함하면 나머지는 패키지 기본값으로 대체됩니다.

각 분석 후 VM을 되돌립니다.

JSON 보고서 보기 (standalone)

• tools/report_viewer.py는 CAPEsolo report.json을 위한 자체 포함형 트리아지 뷰어로, Python만 있으면 모든 호스트에서 실행됩니다 - CAPEsolo 설치나 pip 의존성이 필요 없습니다 (표준 라이브러리 tkinter).
  • python tools/report_viewer.py [path\to\report.json]
  • 인수 없이 실행하면 %USERPROFILE%\Desktop\report.json(CAPEsolo가 기록하는 위치)을 엽니다. 다른 파일을 선택하려면 File > Open을 사용하십시오.
  • 트리아지 탭: Overview (판정 카드 - 파일 해시, 탐지, 상위 시그니처, 구성, 개수), Signatures (심각도 정렬, 색상 표시, 프로세스별 증거 포함), Processes (프로세스 트리 및 프로세스별 메타데이터), Network (DNS/HTTP/Hosts/Domains/Flows), Payloads (yara 히트 및 문자열 포함), IOCs (집계, Copy / Export CSV / Export text 포함).
  • 검색 상자(상단 바)는 시그니처, 네트워크, 페이로드, 구성, IOC 및 문자열에서 값을 찾아 해당 탭으로 이동합니다.
  • Raw JSON 탭은 트리아지 탭에서 표시하지 않는 모든 항목에 대해 전체 트리를 유지합니다.
  • 대용량 보고서 처리: 파일은 진행률 표시줄과 함께 읽히고, 원시 트리는 지연 로드되며 (확장 시 자식 로드), 세부 창은 제한되어 수백 MB/GB 보고서에서도 응답성을 유지합니다. (GB 보고서는 파싱에 여전히 수 GB의 RAM이 필요합니다 - Python의 JSON에 내재된 사항입니다.)
  • tkinter가 필요합니다 - 표준 Windows/macOS Python에 포함되어 있으며, Linux에서는 python3-tk를 설치하십시오.

불안정한 VM에서 결과 보존

• 샘플이 폭발 후 VM을 사용할 수 없게 만들면 Start 패널에서 Zip Results를 클릭하여 전체 분석 디렉터리를 Desktop\capesolo_analysis_<timestamp>.zip으로 아카이브합니다.
• 깨끗한/되돌린 VM으로 복원하려면 해당 zip을 C:\Users\Public\CAPEsolo\restore.zip에 복사한 다음 CAPEsolo를 시작합니다. 시작 시 zip을 분석 디렉터리로 추출하고(해당 디렉터리에 아직 분석이 없을 때만) restore.zip.done으로 이름을 바꾸어 한 번만 복원합니다.
• 그런 다음 결과 탭은 재실행 없이 복원된 아티팩트를 읽습니다 - 각 탭(Behavior, Yara, Configs, Signatures)을 처리하거나 JSON/HTML Report 버튼을 사용하십시오.

해시로 샘플 다운로드

• Start 패널은 VirusTotal 또는 MalwareBazaar에서 MD5/SHA1/SHA256으로 샘플을 가져와 분석 대상으로 사용할 수 있습니다. 소스는 구성된 키에 따라 자동 선택됩니다 (VirusTotal 우선, 그다음 MalwareBazaar; MalwareBazaar는 SHA256 필요).
• cfg.ini(또는 Settings 버튼)에서 활성화합니다: [download] 아래에 enabled = true를 설정합니다. directory는 샘플이 저장되는 위치를 설정합니다(기본값은 사용자의 Desktop).
• API 키 - 발급처:
  • VirusTotal: 파일 다운로드에는 VirusTotal Enterprise / Intelligence API 키가 필요합니다. 무료 커뮤니티 키는 보고서를 조회할 수 있지만 파일을 다운로드할 수 없습니다.
  • MalwareBazaar: 무료 abuse.ch Auth-Key(auth.abuse.ch에서 계정 생성).
• API 키는 VM에 평문으로 저장되지 않고 ENCRYPTED 상태로 저장됩니다. tools/encrypt_api_key.py로 VM 외부에서 암호화된 blob을 생성하여 cfg.ini에 붙여넣습니다.
• tools/encrypt_api_key.py는 CAPEsolo 소스 저장소의 tools/ 아래에 포함되어 있습니다. 신뢰할 수 있는 호스트(분석 VM이 아님)에서 실행하십시오. pip install cryptography만 필요합니다.
  • python tools/encrypt_api_key.py
  • API 키와 비밀번호를 (숨김으로) 입력하라는 메시지가 표시되고 암호화된 blob을 출력합니다.
  • 사용하는 모든 공급자를 동일한 비밀번호로 암호화하여 한 번의 입력으로 둘 다 잠금 해제되도록 하십시오.
• 게스트에 blob을 설치하는 방법:

MCP 서버

• CAPEsolo는 프로그래밍 방식 분석 워크플로를 위한 MCP 서버 진입점을 포함합니다.
• CAPEsolo-mcp로 stdio를 통해 시작하거나, HTTP로 제공하여 호스트에서 접근할 수 있습니다.
• 전송 방식, cfg.ini 구성, 전체 도구 목록 및 예제는 mcp_server.md를 참조하십시오.

대화형 디버거

• GUI 디버거는 interactive_debugger.md를, MCP 등가물은 mcp_server.md를 참조하십시오.

헤드리스 단일 실행 CLI

• CAPEsolo는 MCP 서버와 동일한 백엔드 작업 실행기를 재사용하는 비-MCP 단일 실행 모드를 지원합니다.
• 한 번 분석하고 종료:
  • CAPEsolo --headless-analyze "C:\path\sample.exe"
• 선택적 플래그:
  • --package <name>
  • --options "key=value,key2=value2"
  • --timeout <seconds>
  • --enforce-timeout
  • --headless-json
  • --headless-html-report