工具
CAPEv2 恶意软件沙箱
源自 Cuckoo v1 的恶意软件沙箱，在隔离的 Windows 客户机中运行样本，记录 API 挂钩行为、创建和修改的文件、PCAP 网络流量、屏幕截图和内存转储。其 capemon 监控组件增加了自动脱壳功能，可捕获被注入、解出或解压的载荷并转储进程映像；内置调试器可由 YARA 签名或提交选项设置断点并输出简短的指令跟踪。结果通过 YARA、Suricata 和行为签名分类，恶意软件配置则由独立的 CAPE-parsers 包中的解析器提取。
使用条件与局限
- 项目没有发布版本或标签：所审阅的 2026-10-18 master 提交是滚动快照，变更记录在 changelog.md 中，pyproject.toml 中的版本号 0.1.0 只是占位。README 建议使用 Ubuntu 24.04 LTS 宿主机、KVM 以及 Python 3.10 或 3.12，客户机为 Windows 10 或 Windows 11 23H2，并在其中用 32 位 Python 3.7.2 或 3.8 运行 agent.py。kvm-qemu.sh 与 cape2.sh 安装脚本需先修改再使用，只有 rooter 组件以 root 运行，README 还要求用户通读 conf/ 中的所有文件。
- 样本和 Windows 客户虚拟机由使用者自备；仓库不提供客户机操作系统。Windows 分析组件附带若干辅助二进制：capemon.dll 与 capemon_x64.dll 监控组件以及 loader.exe 与 loader_x64.exe 加载器，由独立的 GPL-3.0 capemon 仓库构建；PPLinject 和 version.dll 辅助程序，所审文件未说明其源码出处；以及受各自发行方条款约束的第三方工具，即 Sysinternals PsExec、Windows SDK 中的 signtool.exe 和 AutoIt3 解释器。
- CI 在递归检出后于 Ubuntu 22.04 和 Python 3.10 上运行 ruff、核心、Web 界面与 Linux 分析组件的 pytest 测试套件以及 mypy，并在 Windows 上运行 Windows 分析组件的 pytest 测试。这些测试检查框架代码，并不衡量检测或脱壳效果；README 也提醒，配置解析器可能因恶意软件家族变化而失效。递归克隆还会拉取 CAPE-TestFiles 单元测试子模块，其中包含一个恶意软件目录。
- LICENSE 在 Cuckoo Foundation 声明下采用 GPL-3.0，GitHub 将其识别为 NOASSERTION；随附的 Microsoft 与 AutoIt 可执行文件不受该许可证覆盖。分析过程会执行恶意文件，README 说明应在隔离环境中进行。所审来源未提及 REA 的使用，本条目未运行任何样本。
关于此条目
- 类型
- 工具
- 类别
- 调试与动态分析
- 关联
- 基础工具
- 目标
- 二进制
来源复核于
说明已依据一手来源复核；这不代表已运行验证、经过安全审计或确认兼容。
一手来源
- README.md GitHub · kevoreilly/CAPEv2 · 修订 38c34af
- LICENSE GitHub · kevoreilly/CAPEv2 · 修订 38c34af
- analyzer/windows/bin GitHub · kevoreilly/CAPEv2 · 修订 38c34af
- analyzer/windows/dll GitHub · kevoreilly/CAPEv2 · 修订 38c34af
- .gitmodules GitHub · kevoreilly/CAPEv2 · 修订 38c34af
- pyproject.toml GitHub · kevoreilly/CAPEv2 · 修订 38c34af
- changelog.md GitHub · kevoreilly/CAPEv2 · 修订 38c34af
- .github/workflows/python-package.yml GitHub · kevoreilly/CAPEv2 · 修订 38c34af
- .github/workflows/python-package-windows.yml GitHub · kevoreilly/CAPEv2 · 修订 38c34af
- README.md GitHub · kevoreilly/capemon · 修订 b22d3d6