¿Qué es CAPEv2?

¿Sabes qué es CAPEv2 y qué diferencia tiene esta herramienta de ciberseguridad con frameworks anteriores? El análisis de malware es una rama de la seguridad informática, que se enfoca en el conocimiento acerca de los programas maliciosos. En la actualidad, este tipo de softwares pueden y suelen ser altamente avanzados y dañinos para los sistemas infectados. Sin embargo, las técnicas de detección y análisis también lo son.

Una forma de analizar el malware es por medio de la ejecución del programa en una máquina virtual preparada especialmente para ello. A dicha máquina, cuando se utiliza para este fin, se le denomina caja de arena o sandbox y se utiliza para ejecutar procesos de manera aislada y segura.

Las pruebas con malware en una sandbox se pueden realizar de manera automática y efectiva con algunas herramientas. En este post, hablaremos sobre una de ellas, que es de código abierto y fácil de utilizar. A continuación, te explicaremos qué es CAPEv2, cómo funciona y en qué se diferencia de los frameworks que le anteceden.

¿Qué es CAPEv2?

CAPEv2 es la última versión del framework de CAPE Sandbox, que es una herramienta de código libre, cuya función es automatizar de manera eficiente y avanzada el análisis dinámico de un malware en una caja de arena.

CAPE está basado en el framework de Cuckoo Sandbox, pero cuenta con funciones adicionales desarrolladas por expertos en ciberseguridad. Cuenta con una interfaz web amigable con el usuario y aporta informes de los análisis completos en tiempo real.

¿Cómo funciona CAPE Sandbox?

Para entender qué es CAPEv2 y cómo funciona, es necesario mencionar a su framework de base, Cuckoo Sandbox. Este marco de trabajo, compuesto por módulos, es una herramienta de código abierto muy estable, que también sirve para automatizar pruebas dinámicas de malware.

Ahora bien, lo que comparten Cuckoo y CAPE Sandbox es su sistema para ejecutar programas de manera automática en una caja de arena. Dicho módulo que tienen en común ambas herramientas sirve para enviarle el malware a la máquina virtual junto con instrucciones sobre cómo detonar la muestra. Asimismo, este módulo también le envía peticiones constantemente a la sandbox, «preguntándole» por del comportamiento del malware en el equipo.

Toda esta información, en forma de logs, se almacena en diferentes directorios y, luego, el programa la procesa. El módulo de procesamiento de datos de Cuckoo y CAPE Sandbox es la principal diferencia entre estas dos herramientas.

El procesador de CAPE Sandbox cuenta con funciones más avanzadas que las que ofrece Cuckoo, como lo veremos a continuación:

Módulos de CAPEv2

Ya hemos visto qué es CAPEv2, con respecto a lo que comparte con su framework de base, Cuckoo Sandbox. Sin embargo, CAPEv2 tiene, además del módulo de automatización, módulos de procesamiento y extracción de información más poderosos como, por ejemplo:

Reglas YARA propias

Las reglas YARA son condiciones escritas en forma de script, que sirven para clasificar los comportamientos de un programa como amenazas. Debido a que el código de Cuckoo no se actualiza desde 2019, las reglas YARA de CAPE se encuentran más actualizadas y, por lo tanto, son superiores a las del framework anterior.

Integraciones de VirusTotal

VirusTotal es una herramienta online de Google para el análisis de ficheros maliciosos que junta cientos de herramientas de análisis para poner a prueba ficheros, hashes y direcciones URL de manera gratuita. Los desarrolladores de CAPE Sandbox, en alianza con VirusTotal, tienen dicha plataforma integrada para complementar los análisis en tiempo real.

Motor de análisis de comportamiento

La mayor diferencia entre CAPE y Cuckoo Sandbox que te ayudará a entender qué es CAPEv2 es que el motor de análisis de comportamiento del malware en la máquina virtual cuenta con más módulos y funciones, como:

1. Extrae, captura y analiza el payload del malware para descubrir cómo funciona exactamente y reconocerlo más adelante. Las siglas CAPE significan Configuration And Payload Extraction.
2. Reconoce malwares como GandCrab, Emotet, Trickbot, CryptoLocker, Locky o Conti, entre otros.
3. Análisis forense de los procesos en memoria de la máquina virtual.
4. Cuenta con un repositorio propio de firmas digitales, más amplio que el de otros softwares o plataformas online.

Ahora sabes qué es CAPEv2 y en qué consiste esta herramienta de análisis de malware. Si quieres seguir aprendiendo con la guía de un experto, ingresa a nuestro Ciberseguridad Full Stack Bootcamp y especialízate en tan solo 7 meses. ¡No esperes más e inscríbete ahora para darle un giro a tu vida laboral y destacar en el sector IT!