# CAPEv2 恶意软件沙箱 > 源自 Cuckoo v1 的恶意软件沙箱，在隔离的 Windows 客户机中运行样本，记录 API 挂钩行为、创建和修改的文件、PCAP 网络流量、屏幕截图和内存转储。其 capemon 监控组件增加了自动脱壳功能，可捕获被注入、解出或解压的载荷并转储进程映像；内置调试器可由 YARA 签名或提交选项设置断点并输出简短的指令跟踪。结果通过 YARA、Suricata 和行为签名分类，恶意软件配置则由独立的 CAPE-parsers 包中的解析器提取。 - 类型：工具 - 目标：二进制 - 类别：调试与动态分析 - 关联：基础工具 - 来源复核于：2026-10-19 - 收录于：2026-11-02 - 原始资源： - 一手来源： - 目录页面： - 记录 JSON： - 英文版：[English](https://awesomerea.org/resources/capev2/index.md) ## 使用条件与局限 - 项目没有发布版本或标签：所审阅的 2026-10-18 master 提交是滚动快照，变更记录在 changelog.md 中，pyproject.toml 中的版本号 0.1.0 只是占位。README 建议使用 Ubuntu 24.04 LTS 宿主机、KVM 以及 Python 3.10 或 3.12，客户机为 Windows 10 或 Windows 11 23H2，并在其中用 32 位 Python 3.7.2 或 3.8 运行 agent.py。kvm-qemu.sh 与 cape2.sh 安装脚本需先修改再使用，只有 rooter 组件以 root 运行，README 还要求用户通读 conf/ 中的所有文件。 - 样本和 Windows 客户虚拟机由使用者自备；仓库不提供客户机操作系统。Windows 分析组件附带若干辅助二进制：capemon.dll 与 capemon_x64.dll 监控组件以及 loader.exe 与 loader_x64.exe 加载器，由独立的 GPL-3.0 capemon 仓库构建；PPLinject 和 version.dll 辅助程序，所审文件未说明其源码出处；以及受各自发行方条款约束的第三方工具，即 Sysinternals PsExec、Windows SDK 中的 signtool.exe 和 AutoIt3 解释器。 - CI 在递归检出后于 Ubuntu 22.04 和 Python 3.10 上运行 ruff、核心、Web 界面与 Linux 分析组件的 pytest 测试套件以及 mypy，并在 Windows 上运行 Windows 分析组件的 pytest 测试。这些测试检查框架代码，并不衡量检测或脱壳效果；README 也提醒，配置解析器可能因恶意软件家族变化而失效。递归克隆还会拉取 CAPE-TestFiles 单元测试子模块，其中包含一个恶意软件目录。 - LICENSE 在 Cuckoo Foundation 声明下采用 GPL-3.0，GitHub 将其识别为 NOASSERTION；随附的 Microsoft 与 AutoIt 可执行文件不受该许可证覆盖。分析过程会执行恶意文件，README 说明应在隔离环境中进行。 ## 一手来源 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. ## 同分区更多条目：原生二进制 - [LuaDec：Lua 字节码反编译器](https://awesomerea.org/zh/resources/luadec/index.md) · 工具 - [xpcspy XPC 消息拦截工具](https://awesomerea.org/zh/resources/xpcspy/index.md) · 工具 - [de4py Python 反混淆与分析工具包](https://awesomerea.org/zh/resources/de4py/index.md) · 工具 - [Dwarf 基于 Frida 的多平台调试器](https://awesomerea.org/zh/resources/dwarf-debugger/index.md) · 工具 - [bddisasm x86/x64 指令解码库](https://awesomerea.org/zh/resources/bddisasm/index.md) · 工具 - [decompyle3 Python 3.7–3.8 字节码反编译器](https://awesomerea.org/zh/resources/decompyle3/index.md) · 工具 ## 关于此条目 说明已依据一手来源复核。 原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。