CAPE Sandbox è un sistema automatico di analisi del malware. Gli si affida un file sospetto, lui lo esegue in una macchina virtuale isolata e restituisce un rapporto dettagliato su tutto ciò che quel file ha cercato di fare. Il nome è l’acronimo di Config And Payload Extraction. Il progetto è nato nel 2015 per iniziativa di Kevin O’Reilly presso la società Context Information Security, partendo dal codice di Cuckoo Sandbox, ed è stato presentato al pubblico alla conferenza 44CON nel settembre 2016.
Il ramo attuale, CAPEv2, è uscito nell’ottobre 2019 dopo il porting a Python 3 curato da Andriy Brukhovetskyy. Il codice è distribuito con licenza GPL v3, ereditata da Cuckoo, nel repository GitHub kevoreilly/CAPEv2, che il giorno della nostra verifica contava circa 3.400 stelle e quasi 600 fork.
A cosa serve CAPE Sandbox
L’analisi dinamica parte da un’idea semplice: un programma malevolo si rivela soprattutto quando viene eseguito. CAPE prepara quindi una macchina virtuale Windows pulita, vi copia il campione, lo avvia e osserva. Un monitor iniettato nei processi intercetta le chiamate alle funzioni di sistema, così il rapporto può elencare i file creati, le chiavi di registro modificate, i processi lanciati e le connessioni aperte. Il traffico di rete viene salvato in formato PCAP, durante l’esecuzione si scattano schermate e si può conservare il dump completo della memoria. Alla fine la macchina torna allo stato iniziale, pronta per il campione successivo.
Ciò che distingue CAPE dal suo antenato sta proprio nel nome. Molti malware arrivano compressi o cifrati e il vero payload compare in memoria solo durante l’esecuzione. CAPE lo cattura in automatico, lo classifica con regole YARA e ne estrae la configurazione, cioè gli indirizzi dei server di comando, le chiavi di cifratura o gli identificativi della campagna. Sono informazioni che servono subito a chi deve bloccare una minaccia o ricondurla a una famiglia nota. Un debugger integrato, pilotabile dalle regole YARA dal 2021, aiuta inoltre ad aggirare le trappole che alcuni campioni tendono alle sandbox, come i controlli sui tempi o il rilevamento delle macchine virtuali.
Cuckoo Sandbox, da cui CAPE deriva, non è più mantenuto. L’ultima versione risale al giugno 2019 e il repository è stato archiviato nell’aprile 2021, tanto che molti team sono passati a CAPE. I dump di memoria si possono esaminare con Volatility, i payload estratti aprire in Ghidra o IDA Pro per l’analisi statica e il traffico catturato confrontare con Suricata, che la documentazione indica tra le integrazioni. Un’interfaccia web, un’API REST e una modalità distribuita su più server permettono infine di inserirlo in una catena di analisi automatizzata.
Per chi è?
CAPE è pensato per analisti di malware, gruppi di risposta agli incidenti, centri operativi di sicurezza e ricercatori di threat intelligence che ricevono molti più campioni di quanti se ne possano esaminare a mano. Per un primo assaggio senza installare nulla, il README segnala un’istanza dimostrativa gratuita su capesandbox.com, accessibile dopo l’attivazione di un account.
L’installazione richiede invece esperienza. Il repository consiglia un host Ubuntu 24.04 LTS, l’hypervisor KVM e una macchina ospite Windows 10 o Windows 11 da preparare in proprio, con Python, l’agente di analisi, le impostazioni di rete e un sistema alleggerito dalle attività in background. Servono un server con molta memoria, buone competenze di amministrazione Linux e grande disciplina nell’isolamento della rete, dato che i campioni sono attivi. CAPE non è un antivirus e non protegge alcuna postazione. Per sorvegliare un parco di macchine conviene guardare a Wazuh o Suricata.
Scaricare CAPE Sandbox in sicurezza
La fonte ufficiale è il repository GitHub kevoreilly/CAPEv2, insieme alla documentazione su capev2.readthedocs.io. Il progetto non pubblica installer né immagini pronte. Si scarica il repository e si eseguono i due script forniti, uno per predisporre KVM e l’altro per installare CAPE. Il README chiede espressamente di leggerli e capirli prima di avviarli, consiglio sensato per script che girano con i privilegi di amministratore. Il software è gratuito e non ha edizioni commerciali.
Su GitHub circolano molte copie del repository pubblicate da altri account, spesso ferme a una data lontana. Una macchina di analisi maneggia per definizione codice ostile, e una versione manomessa dello strumento stesso diventerebbe una falla grave nel laboratorio. Meglio partire dal repository originale e seguirne gli aggiornamenti.
Domande frequenti
CAPE Sandbox è gratuito?
Sì. Il codice è distribuito con licenza GPL v3 e non esiste un’edizione a pagamento. Anche l’istanza dimostrativa pubblica indicata dal progetto è gratuita, previa attivazione dell’account.
Che differenza c’è tra CAPE e Cuckoo Sandbox?
CAPE deriva dalla prima versione di Cuckoo e aggiunge lo spacchettamento automatico, l’estrazione delle configurazioni e un debugger. Soprattutto, Cuckoo non è più mantenuto da anni, mentre CAPE continua a ricevere aggiornamenti.
Si può installare CAPE su Windows?
No, l’host deve essere un sistema Linux e il progetto raccomanda Ubuntu 24.04 LTS. Windows fa da sistema ospite nelle macchine virtuali in cui girano i campioni, e sono possibili anche ospiti Linux.
