CAPA - инструмент с открытым исходным кодом, с помощью которого можно определять возможности исполняемых файлов. Позволяет сопоставлять неизвестные файлы с техникам из матрицы MITRE ATT&CK и каталогом поведения вредоносных программ. Так же показывает возможности файла с указанием на правила capa, с помощью которых они были определены.

⚙️ Для запуска требуется лишь передать название исполняемого файла:

./capa input_file

✏️При передаче флага -vv выводится более подробное описание, в котором утилита сообщает, где были обнаружены признаки найденных возможностей. Благодаря этому повышается доверие к результатам программы и можно более подробно изучить исполняемый файл в IDA.

📝Правила capa
Для обнаружения возможностей программы утилита использует определенный набор правил, которые представляют из себя смесь правил OpenIOC, Yara и YAML. При большом желании и стремлении сделать проект лучше можно самому дописать правила, что позволит утилите в дальнейшем распознавать интересные методы в вредоносных программах

💱 Плагин для IDA Pro
При использовании IDA Pro, существует возможность работать с плагином capa Explorer. Данный плагин помогает определять интересные области программы и создавать новые правила capa, используя непосредственно извлеченные функции из вашей базы данных IDA.