CAPE Sandbox est un bac à sable d’analyse de logiciels malveillants. On lui confie un fichier suspect, il l’exécute dans une machine virtuelle isolée et rend un rapport détaillé sur tout ce que ce fichier a tenté de faire. Son nom est l’acronyme de Config And Payload Extraction. Le projet a été lancé en 2015 par Kevin O’Reilly au sein de la société Context Information Security, à partir du code de Cuckoo Sandbox, puis présenté publiquement à la conférence 44CON en septembre 2016.
La branche actuelle, CAPEv2, est sortie en octobre 2019 après le portage vers Python 3 mené par Andriy Brukhovetskyy. Le code est publié sous licence GPL v3, héritée de Cuckoo, sur le dépôt GitHub kevoreilly/CAPEv2, qui affichait le jour de notre consultation environ 3 400 étoiles et près de 600 forks.
À quoi sert CAPE Sandbox
L’analyse dynamique part d’un constat simple : un programme malveillant se dévoile surtout quand il tourne. CAPE prépare donc une machine virtuelle Windows propre, y dépose l’échantillon, le lance et observe. Un moniteur injecté dans les processus intercepte les appels aux fonctions du système, ce qui permet de reconstituer les fichiers créés, les clés de registre modifiées, les processus démarrés et les connexions ouvertes. Le trafic réseau est enregistré au format PCAP, des captures d’écran sont prises pendant l’exécution et la mémoire complète de la machine peut être sauvegardée. La machine revient ensuite à son état initial pour accueillir l’échantillon suivant.
Ce qui distingue CAPE de son ancêtre tient dans son nom. Beaucoup de programmes malveillants arrivent compressés ou chiffrés, et leur charge réelle n’apparaît en mémoire qu’au moment de l’exécution. CAPE la récupère automatiquement, la classe à l’aide de règles YARA et en extrait la configuration, c’est-à-dire les adresses des serveurs de commande, les clés de chiffrement ou les identifiants de campagne. Un débogueur intégré, programmable depuis les règles YARA depuis 2021, permet aussi de déjouer les pièges que certains échantillons tendent aux bacs à sable, comme les temporisations ou la détection des machines virtuelles.
Cuckoo Sandbox, dont CAPE est issu, n’est plus maintenu. Sa dernière version date de juin 2019 et son dépôt a été archivé en avril 2021, si bien que CAPE a pris le relais dans de nombreuses équipes. Les vidages mémoire qu’il produit peuvent être examinés avec Volatility, les charges extraites passées dans Ghidra ou IDA Pro pour une analyse statique, et le trafic capturé croisé avec Suricata, que la documentation cite parmi ses intégrations. Une interface web, une API REST et un mode distribué sur plusieurs serveurs permettent enfin de l’insérer dans une chaîne de traitement automatisée.
Pour qui ?
CAPE s’adresse aux analystes de logiciels malveillants, aux équipes de réponse à incident, aux centres opérationnels de sécurité et aux chercheurs en renseignement sur les menaces, qui reçoivent plus d’échantillons qu’ils ne peuvent en examiner à la main. Pour un premier contact sans rien installer, le README signale une instance de démonstration gratuite sur capesandbox.com, accessible après activation d’un compte.
L’installation, elle, demande du métier. Le dépôt recommande un hôte Ubuntu 24.04 LTS, l’hyperviseur KVM et une machine invitée Windows 10 ou Windows 11 qu’il faut préparer soi-même, avec Python, l’agent d’analyse, des réglages réseau et un système allégé de ses tâches de fond. Il faut prévoir un serveur bien doté en mémoire, de solides notions d’administration Linux et une vraie rigueur dans l’isolement du réseau, puisque les échantillons sont actifs. VirtualBox, VMware Workstation et XenServer sont aussi documentés. CAPE n’est pas un antivirus et ne protège aucun poste de travail. Pour surveiller un parc informatique, Wazuh ou Suricata répondent mieux au besoin.
Télécharger CAPE Sandbox sans risque
La source officielle du logiciel est le dépôt GitHub kevoreilly/CAPEv2, accompagné de sa documentation sur capev2.readthedocs.io. Le projet ne publie ni installateur ni image prête à l’emploi. On récupère le dépôt, puis on exécute les deux scripts fournis, l’un pour préparer KVM, l’autre pour installer CAPE lui-même. Le README demande de les lire avant de les lancer, une précaution logique pour des scripts exécutés en administrateur. Le logiciel est gratuit, sans édition commerciale.
De nombreuses copies du dépôt existent sur GitHub sous d’autres comptes, souvent figées à une date ancienne. Or une version altérée de l’outil deviendrait une faille sérieuse dans un laboratoire qui manipule déjà du code hostile. Mieux vaut partir du dépôt d’origine et suivre ses mises à jour.
Questions fréquentes
CAPE Sandbox est-il gratuit ?
Oui. Le code est publié sous licence GPL v3 et il n’existe pas d’édition payante. L’instance publique de démonstration signalée par le projet est elle aussi gratuite, après activation d’un compte.
Quelle différence entre CAPE et Cuckoo Sandbox ?
CAPE dérive de la première version de Cuckoo et y ajoute le dépaquetage automatique, l’extraction des configurations et un débogueur. Surtout, Cuckoo n’est plus maintenu depuis plusieurs années, alors que CAPE reçoit toujours des mises à jour.
Peut-on installer CAPE sous Windows ?
Non. L’hôte doit être un système Linux, et le projet recommande Ubuntu 24.04 LTS. Windows sert de système invité, dans les machines virtuelles où s’exécutent les échantillons, et des invités Linux sont également possibles.
