capa : identifier automatiquement les capacités d'un fichier malveillant

Des heures d'analyse condensées en quelques secondes

Imaginez la scène. Un fichier suspect vient d'atterrir sur votre bureau. Personne ne sait d'où il sort, l'antivirus fait la moue sans être catégorique, et c'est à vous de trancher : inoffensif ou dangereux ? Vous ouvrez donc le binaire dans votre désassembleur préféré, et vous voilà parti pour de longues heures de lecture d'assembleur, à remonter des appels d'API un par un, simplement pour répondre à une question d'apparence banale : que fait ce programme, au juste ?

C'est précisément le problème que capa attaque de front. Cet outil open source, développé par l'équipe FLARE de Mandiant (les spécialistes du reverse engineering passés depuis sous la bannière de Google), analyse un exécutable et vous dresse en quelques secondes la liste de ses capacités : communication réseau, mécanismes de persistance, enregistrement des frappes clavier, chiffrement de données, injection de code… Le tout sans exécuter le fichier, et avec les preuves à l'appui.

capa, l'outil de Mandiant qui identifie les capacités d'un exécutable suspect - Crédit photo : © Github.com

capa, c'est quoi au juste ?

capa est un outil en ligne de commande, distribué sous licence Apache 2.0 et disponible sur GitHub. Son rôle : détecter automatiquement les capacités techniques présentes dans un fichier exécutable. Et sa couverture est large, puisqu'il sait analyser les exécutables Windows au format PE, les binaires Linux au format ELF, les modules .NET, mais aussi du shellcode brut, ce fragment de code typique des exploits qui ne ressemble à aucun format de fichier classique.

Cerise sur le gâteau, capa ne se limite pas à l'analyse statique. Il sait également digérer les rapports produits par les sandboxes CAPE, DRAKVUF et VMRay, ce qui lui permet d'identifier des comportements observés pendant l'exécution réelle d'un échantillon. Deux mondes, un seul outil.

En clair : capa lit un binaire à votre place et vous annonce ce qu'il sait faire, en citant ses sources, sans que vous ayez besoin de l'exécuter.

Un moteur de règles simple et malin

Sous le capot, capa repose sur un principe d'une élégante simplicité : un moteur de règles déclaratives écrites en YAML. Chaque règle décrit une capacité précise à partir de caractéristiques extraites du binaire : appels d'API, chaînes de caractères, constantes numériques, mnémoniques assembleur, le tout combiné avec des opérateurs logiques.

Prenons un exemple concret. Pour détecter la création d'un socket TCP sous Windows, une règle va rechercher un appel à la fonction adéquate accompagné des bonnes constantes :


- and:
  - api: ws2_32.socket
  - number: 6 = IPPROTO_TCP
  - number: 1 = SOCK_STREAM
  - number: 2 = AF_INET

Si ces éléments sont réunis dans une même fonction du binaire, capa en conclut que le programme sait créer un socket TCP. Multipliez cela par les centaines de règles maintenues dans le dépôt communautaire capa-rules, et vous obtenez une radiographie complète de l'échantillon. Le format étant lisible et documenté, rien ne vous empêche d'ailleurs d'écrire vos propres règles pour traquer des comportements spécifiques à vos investigations.

Une cartographie ATT&CK servie sur un plateau

Là où capa devient réellement précieux, c'est dans sa restitution. L'outil ne se contente pas de lister des capacités en vrac : il les classe selon le référentiel MITRE ATT&CK, avec les tactiques (Defense Evasion, Discovery, Execution…) et les identifiants de techniques correspondants, ainsi que selon le Malware Behavior Catalog (MBC). Vos conclusions parlent immédiatement le même langage que vos rapports de threat intelligence, vos règles de détection et vos échanges avec les équipes SOC. Un gain de temps considérable au moment de documenter une analyse.

À l'usage, ça donne quoi ?

L'utilisation de base tient en une ligne. Vous téléchargez le binaire autonome depuis les releases GitHub, aucune installation n'est requise, puis :


capa.exe echantillon_suspect.exe

Quelques secondes plus tard, vous obtenez un tableau récapitulatif : les tactiques et techniques ATT&CK identifiées, puis la liste des capacités détectées avec leur espace de noms, du genre « encode data using XOR » ou « connect to HTTP server ». Et si vous voulez comprendre le raisonnement de l'outil, le mode très verbeux -vv détaille chaque correspondance : l'adresse exacte dans le binaire, les appels d'API repérés, l'arborescence complète des critères évalués. Idéal pour vérifier une détection ou pour démarrer une session de reverse engineering en sachant exactement où regarder.

Et pour les échantillons récalcitrants ?

Face à un binaire packé ou fortement obfusqué, l'analyse statique montre ses limites, et capa a l'honnêteté de vous prévenir lorsqu'un échantillon semble compressé. Dans ce cas, la parade consiste à faire détoner le fichier dans une sandbox compatible, puis à confier le rapport à capa : l'outil identifiera les capacités à partir des comportements réellement observés durant l'exécution.

Des intégrations bien pensées

capa ne vit pas en vase clos. Le plugin capa explorer s'intègre directement dans IDA Pro et tire parti de votre base de données d'analyse pour affiner l'extraction des caractéristiques. Les adeptes de Ghidra ne sont pas oubliés, avec un support via PyGhidra et un plugin dédié pour visualiser les résultats dans l'interface. Enfin, un Web Explorer permet d'explorer interactivement les résultats d'une analyse dans le navigateur, y compris via un fichier HTML autonome, pratique pour partager un rapport avec un collègue.

Pourquoi l'adopter ?

Parce qu'il répond à un vrai besoin de terrain : le triage. Quand des dizaines d'échantillons s'accumulent, capa vous permet en quelques minutes de repérer ceux qui méritent une analyse approfondie et d'écarter les plus banals. Pour l'analyste débutant, c'est aussi un formidable outil pédagogique, qui montre concrètement à quoi ressemblent un mécanisme de persistance ou une routine de chiffrement dans un binaire réel.

Ajoutez à cela un développement toujours très actif, les versions récentes ont notamment apporté des règles ciblant le vol d'identifiants cloud AWS, GCP, Docker et Kubernetes, une communauté solide autour du dépôt de règles, et une licence permissive qui autorise l'intégration dans vos propres chaînes d'analyse. Vous obtenez l'un de ces rares outils qui trouvent leur place aussi bien dans la boîte à outils d'un CERT que dans celle d'un chercheur indépendant.

Bien entendu, capa ne remplace ni votre désassembleur ni votre cerveau : il détecte des capacités, pas des intentions, et un programme légitime peut parfaitement créer des sockets ou chiffrer des données. Mais comme point de départ d'une analyse, difficile de faire plus efficace. Essayez-le sur le prochain binaire douteux qui croisera votre route : vous risquez fort de ne plus pouvoir vous en passer.