CAPE（Config And Payload Extraction）是源自 Cuckoo 的开源恶意软件沙箱，用于自动化行为分析、载荷转储与配置提取。CAPEv2 通过 API 钩子进行行为插桩，记录执行期间创建、修改、删除的文件，以 PCAP 格式捕获网络流量，并内置 70 多个自定义配置提取器（cape-parsers），覆盖 Emotet、TrickBot、Cobalt Strike、AsyncRAT、Rhadamanthys 等家族；签名系统包含 1000 多个行为签名，可检测规避、持久化、凭据窃取与勒索行为。其调试器支持在 YARA 签名中结合调试动作，实现动态反规避绕过。推荐部署环境为 Ubuntu LTS 主机加 Windows 10 21H2 客户机。
适用场景：涉及自动化恶意软件分析的安全评估、相关安全事件的事件响应流程、计划性安全测试或审计，以及通过动手测试验证安全控制。
前置条件：Ubuntu 22.04 LTS 服务器（8 核以上 CPU、32GB 以上内存、500GB 以上 SSD）、KVM/QEMU 虚拟化支持、Windows 10 21H2 客户机镜像、Python 3.9+ 及 CAPEv2 依赖、用于隔离分析网络的网络配置。
使用方式：通过 CAPE 的 REST API 提交样本并轮询任务状态，任务完成后获取完整报告，从中提取恶意软件配置、网络 IOC（DNS、HTTP、TCP）与释放文件列表。资料给出的 Python 客户端封装了 submit_file、get_status、wait_for_completion、get_report、get_config、get_dropped_files、get_network_iocs 等方法，默认提交地址为 http://localhost:8000，提交时可设置 timeout（默认 120）与 enforce_timeout。
验证标准：样本在配置超时内完成提交与分析；已知恶意软件家族触发行为签名；cape-parsers 成功提取配置；网络流量被捕获并提取 IOC；释放文件与载荷被收集以供进一步分析；反规避绕过对感知沙箱的恶意软件有效。
限制：资料未提供具体安装命令、收费与价格信息、性能基准或平台兼容性细节，这些内容暂未提供。