CAPEsolo

Sandbox de malware em VM Windows autônomo executando capemon, com visualizador de triagem GUI, assinaturas YARA, extração de IOC, análise de rede e download de amostras do VirusTotal/MalwareBazaar.

• python tools/report_viewer.py [path\to\report.json]
• Sem argumento, ele abre %USERPROFILE%\Desktop\report.json (onde o CAPEsolo o grava); use Arquivo > Abrir para escolher outro.
• Abas de triagem: Overview (cartão de veredito - hashes de arquivo, detecções, principais assinaturas, configuração, contagens), Signatures (ordenadas por severidade, coloridas, com evidências por processo), Processes (a árvore de processos com metadados por processo), Network (DNS/HTTP/Hosts/Domains/Flows), Payloads (com acertos de yara e strings), e IOCs (agregados, com Copy / Export CSV / Export text).
• A caixa de Busca (barra superior) encontra um valor em assinaturas, rede, payloads, configurações, IOCs e strings, e salta para a aba correspondente.
• Uma aba Raw JSON mantém a árvore completa para qualquer coisa que as abas de triagem não exibam.
• Lida com relatórios grandes: o arquivo é lido com uma barra de progresso, a árvore bruta carrega sob demanda (filhos ao expandir), e os painéis de detalhes são limitados, então permanece responsivo em relatórios de centenas de MB/GB. (Um relatório de GB ainda precisa de vários GB de RAM para analisar - inerente ao JSON do Python.)
• Precisa de tkinter - incluído no Python padrão do Windows/macOS; no Linux instale python3-tk.

Preservar Resultados de uma VM Instável

• Se uma amostra tornar a VM inutilizável após a detonação, clique em Zip Results no painel Start para arquivar todo o diretório de análise em Desktop\capesolo_analysis_<timestamp>.zip.
• Para restaurar em uma VM limpa/revertida, copie esse zip para C:\Users\Public\CAPEsolo\restore.zip, e então inicie o CAPEsolo. Na inicialização, ele extrai o zip para o diretório de análise (somente quando esse diretório ainda não tem análise) e o renomeia para restore.zip.done para que restaure uma vez.
• As abas de resultado então leem os artefatos restaurados sem reexecução - processe cada aba (Behavior, Yara, Configs, Signatures) ou use os botões JSON/HTML Report.

Baixar Amostras por Hash

• O painel Start pode buscar uma amostra por MD5/SHA1/SHA256 do VirusTotal ou MalwareBazaar e usá-la como alvo de análise. A fonte é selecionada automaticamente (VirusTotal primeiro, depois MalwareBazaar; MalwareBazaar requer um SHA256), com base em quais chaves estão configuradas.
• Ative em cfg.ini (ou pelo botão Settings): em [download] defina enabled = true. directory define onde as amostras são salvas (padrão para a Área de Trabalho do usuário).
• Chaves de API - onde obtê-las:
  • VirusTotal: downloads de arquivos exigem uma chave de API VirusTotal Enterprise / Intelligence. A chave comunitária gratuita pode consultar relatórios, mas não pode baixar arquivos.
  • MalwareBazaar: uma Auth-Key gratuita do abuse.ch (crie uma conta em auth.abuse.ch).
• As chaves de API são armazenadas CRIPTOGRAFADAS, nunca em texto simples na VM. Você produz o blob criptografado FORA da VM com tools/encrypt_api_key.py e o cola em cfg.ini.
• tools/encrypt_api_key.py vem no repositório de código-fonte do CAPEsolo em tools/. Execute-o em um host confiável (NÃO na VM de análise); ele só precisa de pip install cryptography.
  • python tools/encrypt_api_key.py
  • Ele solicita (oculto) a chave de API e uma senha, e imprime um blob criptografado.
  • Criptografe cada provedor que você usa com a MESMA senha, para que um único prompt desbloqueie ambos.
• Instale o blob no convidado de uma das seguintes formas:
  • colando-o em cfg.ini como api_key_enc em [virustotal] e/ou [malwarebazaar], ou
  • definindo as variáveis de ambiente CAPESOLO_VT_APIKEY_ENC / CAPESOLO_MB_APIKEY_ENC (variáveis de ambiente substituem cfg.ini).
• Quando os downloads estão habilitados, o CAPEsolo solicita a senha uma vez na inicialização e descriptografa a chave apenas em memória; a chave em texto simples nunca toca o disco da VM. Digite a senha, então tire um snapshot da VM para que esteja pronta em cada reversão.

Servidor MCP

• O CAPEsolo inclui um ponto de entrada de servidor MCP para fluxos de trabalho de análise programática.
• Inicie-o via stdio com CAPEsolo-mcp, ou sirva-o via HTTP para acessá-lo a partir do host.
• Veja mcp_server.md para transportes, configuração de cfg.ini, a lista completa de ferramentas e exemplos.

Depurador Interativo

• Veja interactive_debugger.md para o depurador GUI, e mcp_server.md para o equivalente MCP.

CLI Headless de Execução Única

• O CAPEsolo suporta um modo de execução única não-MCP que reutiliza o mesmo executor de jobs de backend do servidor MCP.
• Execute uma análise e saia:
  • CAPEsolo --headless-analyze "C:\path\sample.exe"
• Flags opcionais:
  • --package <name>
  • --options "key=value,key2=value2"
  • --timeout <seconds>
  • --enforce-timeout
  • --headless-json
  • --headless-html-report