Dalam analisis malware CAPA (Capability and Attack Pattern Analyzer) adalah tool open-source yang digunakan untuk mengidentifikasi capabilities dan pola serangan (attack patterns) dari suatu sampel malware berdasarkan kode binernya.

Fitur Utama CAPA

Mendeteksi Kemampuan Malware
CAPA dapat mengenali berbagai fungsi berbahaya dalam kode, seperti:
- Komunikasi dengan C2 (Command and Control)
- process injection
- Pencurian data (data exfiltration)
- Enkripsi file (file encryption)
- Anti-analisis (anti-debugging, anti-VM)
Menggunakan Aturan (Rules) yang Terdefinisi
CAPA memiliki basis aturan (YAML-based rules) yang memetakan pola kode berbahaya ke teknik serangan tertentu (misalnya, sesuai dengan MITRE ATT&CK framework).
Mendukung Berbagai Format File
Bekerja dengan file PE (Windows), ELF (Linux), Mach-O (macOS), dan shellcode.

Integrasi dengan Tools Lain

CAPA sering digunakan bersama:

IDA Pro / Ghidra (untuk analisis statis)
FLARE Obfuscated String Solver (FLOSS) (mendekripsi string terenkripsi)
Binary Ninja / Radare2

Contoh Penggunaan CAPA:

capa path/to/malware.exe

Output-nya akan menampilkan daftar kemampuan malware, seperti:

+------------------------+-------------------------------+
| ATT&CK Tactic          | Capability                    |
+------------------------+-------------------------------+
| DEFENSE EVASION        | Anti-debugging check          |
| PERSISTENCE            | Modifies registry for startup |
| COMMAND AND CONTROL    | Uses HTTP for C2 communication|
+------------------------+-------------------------------+

Keunggulan CAPA

Cepat & Otomatis: Membantu analis malware mengidentifikasi ancaman tanpa membaca seluruh kode manual.
Berbasis Aturan: Komunitas terus menambahkan aturan baru untuk mendeteksi teknik malware terbaru.
Mendukung Analisis Statis: Tidak perlu menjalankan malware (static analysis).

CAPA dikembangkan oleh Mandiant (FireEye) dan tersedia di GitHub: https://github.com/mandiant/capa