Morkenettet og trusselintelligens for AI-agenter.

HIBP, ThreatFox, ransomware-sporing, Tor .onion-tilgang, blokkjede-etterretning, utnyttelsessøk, stealer-logger, skadevareanalyse — samlet i en enkelt MCP-server.
AI-agenten din får fullspektrum morkenettetterretning på forespørsel, ikke 16 nettleserfaner og manuell korrelasjon.

Problemet • Hvordan det er annerledes • Hurtigstart • Hva AI-en kan gjøre • Verktøy (66) • Datakilder • Arkitektur • Endringslogg • Bidra

darknet-mcp-server demo

--- ## Problemet Morkenettetterretning er det manglende laget i enhver sikkerhetsetterforskning. Innbruddsdatabaser, ransomware-sporere, Tor-skjulte tjenester, skadevare-sandkasser, stealer-logger, blokkjede-etterforskning, utnyttelsesdatabaser — dataene du trenger er spredt over dusinvis av plattformer, hver med sitt eget API, sin egen autentisering, sine egne rategrenser, sitt eget utdataformat. I dag sjekker du HIBP i en fane, ThreatFox i en annen, blar gjennom ransomware-lekkasjesider via Tor, henter opp MalwareBazaar for en hash, sjekker blokkjedetransaksjoner på en blokkutforsker, og bruker deretter en time på å sette alt sammen manuelt. ``` Tradisjonell morkenettetterretning arbeidsflyt: sjekk innbruddseksponering -> HIBP nettgrensesnitt (betalt API) søk etter lekkede legitimasjon -> IntelligenceX nettgrensesnitt spor ransomware-grupper -> ransomware.live + ransomlook.io (2 separate grensesnitt) tilgang til .onion skjulte tjenester -> Tor-nettleser manuelt analyser skadevareprøver -> Hybrid Analysis + MalwareBazaar (2 grensesnitt til) sjekk IP-misbrukshistorikk -> AbuseIPDB + GreyNoise (2 grensesnitt til) spor kryptovaluta -> blockchain.info + ChainAbuse søk etter utnyttelser -> Vulners nettgrensesnitt sjekk phishing-URL-er -> PhishTank nettgrensesnitt korreler alt -> kopier og lim inn i en rapport ──────────────────────────────── Totalt: 60+ minutter per etterforskning, det meste brukt på kontekstbytte ``` **darknet-mcp-server** gir AI-agenten din 66 verktøy på tvers av 16 datakilder via [Model Context Protocol](https://modelcontextprotocol.io). Agenten forespør alle kilder parallelt, korrelerer data på tvers av det åpne nettet og morketnettet, identifiserer trusler, og presenterer et samlet etterretningsbilde — i en enkelt samtale. ``` Med darknet-mcp-server: Du: "Undersøk innbruddseksponeringen og trussellandskapet for target.com" Agent: -> HIBP: 3 kjente innbrudd (Adobe 2013, LinkedIn 2021, Collection #1) -> ThreatFox: 2 IOC-er knyttet til domenet (C2-tilbakekall, phishing) -> URLhaus: 1 ondsinnet URL hostet på underdomene -> Ransomware: Ingen offerlister funnet (bra) -> Stealer-logger: 47 kompromitterte ansattlegitimasjoner funnet -> OTX: 5 trusselpulser som refererer til domenet -> AbuseIPDB: Primær-IP har 12 misbruksrapporter (brute force) -> "target.com har vært i 3 datainnbrudd som eksponerte 2,1M poster. 47 ansattlegitimasjoner funnet i stealer-logger — umiddelbar tilbakestilling av passord anbefales. 2 aktive ThreatFox IOC-er tyder på pågående målretting. Ingen ransomware-oppføringer, men misbruksrapportene på primær-IP-en bør undersøkes." ``` --- ## Hvordan det er annerledes Eksisterende verktøy gir deg rådata fra en kilde om gangen. darknet-mcp-server gir AI-agenten din evnen til å **resonnere på tvers av åpent nett og morkenettetterretning samtidig**.

	Tradisjonell tilnærming	darknet-mcp-server
Grensesnitt	16 forskjellige nettgrensesnitt, CLI-er og API-er	MCP — AI-agent kaller verktøy i samtale
Datakilder	En plattform om gangen	16 kilder forespørt parallelt
Innbruddsetterretning	HIBP nettgrensesnitt for innbrudd, IntelligenceX for lekkasjer	Agenten kombinerer HIBP-innbrudd + lim + IntelligenceX + stealer-logger
Morkenettilgang	Manuell Tor-nettleser, kopier-lim fra .onion-sider	Agenten henter, skraper og søker på .onion-sider via SOCKS5-proxy
Skadevareanalyse	Hybrid Analysis + MalwareBazaar + ThreatFox separat	Agenten kryssrefererer: "Denne hashen fra ThreatFox ble også detonert i Hybrid Analysis med nettverks-IOC-er"
Blokkjede	Blokkutforsker + ChainAbuse separat	Agenten sporer BTC-transaksjoner og sjekker misbruksrapporter i ett steg
API-nøkler	Kreves for nesten alt	Mange verktøy fungerer gratis; API-nøkler låser opp premiumkilder
Oppsett	Installer hvert verktøy, administrer hver konfigurasjon, kjør Tor-nettleser	`npx darknet-mcp-server` — en kommando, null konfigurasjon

--- ## Hurtigstart ### Alternativ 1: npx (ingen installasjon) ```bash npx darknet-mcp-server ``` Gratis verktøy fungerer umiddelbart. Ingen API-nøkler kreves for ransomware-sporing, innbruddslister, GreyNoise, blokkjede, OTX og mer. ### Alternativ 2: Klon ```bash git clone https://github.com/badchars/darknet-mcp-server.git cd darknet-mcp-server bun install ``` ### Miljøvariabler (valgfritt) ```bash # Innbrudd- og legitimasjonsetterretning export HIBP_API_KEY=your-key # Aktiverer innbruddskontosøk og limsøk export INTELX_API_KEY=your-key # Aktiverer 4 IntelligenceX-verktøy # Trusselintelligens export OTX_API_KEY=your-key # Øker AlienVault OTX rategrenser export ABUSEIPDB_API_KEY=your-key # Aktiverer 4 AbuseIPDB-verktøy export ABUSECH_AUTH_KEY=your-key # Høyere rategrenser for abuse.ch-pakken export PULSEDIVE_API_KEY=your-key # Høyere rategrenser for Pulsedive # Stealer-logger og legitimasjon export HUDSONROCK_API_KEY=your-key # Aktiverer 3 Hudson Rock stealer-loggverktøy # Utnyttelses- og skadevareanalyse export VULNERS_API_KEY=your-key # Aktiverer Vulners søk og utnyttelsesverktøy export HYBRID_API_KEY=your-key # Aktiverer 3 Hybrid Analysis skadevareverkøy # Phishing export PHISHTANK_API_KEY=your-key # Høyere rategrenser for PhishTank # Tor SOCKS5-proxy (for .onion-tilgang) export TOR_SOCKS_HOST=127.0.0.1 # Standard: 127.0.0.1 export TOR_SOCKS_PORT=9050 # Standard: 9050 ``` Alle API-nøkler er valgfrie. Uten dem får du fortsatt ransomware-sporing, innbruddslister, GreyNoise, blokkjede-etterretning, OTX, Tor-utgangsnode-sjekker, onion-søk, CIRCL onion-oppslag og mer. ### Koble til AI-agenten din

Claude Code

```bash # Med npx claude mcp add darknet-mcp-server -- npx darknet-mcp-server # Med lokal klon claude mcp add darknet-mcp-server -- bun run /path/to/darknet-mcp-server/src/index.ts ```

Claude Desktop

Legg til i `~/Library/Application Support/Claude/claude_desktop_config.json`: ```json { "mcpServers": { "darknet": { "command": "npx", "args": ["-y", "darknet-mcp-server"], "env": { "HIBP_API_KEY": "optional", "INTELX_API_KEY": "optional", "ABUSEIPDB_API_KEY": "optional", "HUDSONROCK_API_KEY": "optional", "HYBRID_API_KEY": "optional", "VULNERS_API_KEY": "optional" } } } } ```

Cursor / Windsurf / andre MCP-klienter

Samme JSON-konfigurasjonsformat. Pek kommandoen til `npx darknet-mcp-server` eller din lokale installasjonssti.

### Tor-oppsett (valgfritt, for .onion-tilgang) De 7 Tor-verktøyene (`tor_fetch_onion`, `tor_scrape_onion`, osv.) krever en kjørende Tor SOCKS5-proxy. ```bash # macOS brew install tor && brew services start tor # Linux sudo apt install tor && sudo systemctl start tor # Docker docker run -d -p 9050:9050 dperson/torproxy # Verifiser tilkobling npx darknet-mcp-server --check-tor ``` ### Begynn å spørre ``` Du: "Sjekk om example.com har vært i noen datainnbrudd og se etter stealer-logger" ``` Det er alt. Agenten håndterer innbruddsoppslag, legitimasjonssøk, trusselkorrelasjon og mer automatisk. --- ## Hva AI-en kan gjøre ### Innbruddsetterforskning ``` Du: "Sjekk om example.com har vært i noen datainnbrudd" Agent: -> breachList {domain: "example.com"} -> breachSearch {account: "admin@example.com"} -> stealer_domain {domain: "example.com"} -> intelx_search {term: "example.com"} -> "example.com dukker opp i 5 kjente innbrudd: - ExampleDB 2023: 4,2M poster (e-poster, passord, IP-er) - Collection #1: credential stuffing-liste - Combolist 2024: 890K e-post:passord-par Stealer-logger: 23 kompromitterte maskiner med lagrede legitimasjoner for example.com funnet i Hudson Rock-databasen. IntelligenceX: 47 resultater på tvers av limsider og morkenettet." ``` ### Ransomware-sporing ``` Du: "Hvilke ransomware-grupper retter seg mot helsesektoren?" Agent: -> ransomwareBySector {sector: "healthcare"} -> ransomwareRecent {} -> ransomlookRecent {} -> "Ransomware-aktivitet i helsesektoren: 142 ofre på tvers av 12 grupper de siste 12 månedene. Toppgrupper: LockBit3 (38 ofre), BlackCat/ALPHV (24), Cl0p (19), Royal (15). Siste: MedCorp Inc. listet av LockBit3 (2 dager siden). 3 nye helseofre den siste uken på tvers av ransomware.live og RansomLook-strømmene." ``` ### Morkenettrekognosering ``` Du: "Søk etter omtaler av selskapet vårt på .onion-sider" Agent: -> tor_search_onion {query: "AcmeCorp"} -> intelx_search {term: "acmecorp.com"} -> onion_lookup {address: "relevant-onion-address.onion"} -> "Morkenettsøkeresultater for AcmeCorp: Ahmia.fi: 3 .onion-sider nevner AcmeCorp - Foruminnlegg som diskuterer AcmeCorp ansattliste (lekkeforum) - Markedsplass-oppføring for AcmeCorp-database (uverifisert) - Blogginnlegg som refererer til AcmeCorp-innbrudd IntelligenceX: 12 resultater på limsider Anbefaling: undersøk foruminnlegget og markedsplass-oppføringen for potensielle aktive datasalg." ``` ### Skadevareanalyse ``` Du: "Analyser denne filhashen for skadevareindikatorer: abc123def456..." Agent: -> malware_search {hash: "abc123def456..."} -> malware_overview {sha256: "abc123def456..."} -> bazaarHash {hash: "abc123def456..."} -> threatfoxSearch {searchTerm: "abc123def456..."} -> otx_hash {hash: "abc123def456..."} -> "Skadevareanalyse for abc123def456: Hybrid Analysis: ONDSINNET (trusselscore 95/100) - Familie: AgentTesla (informasjonstyver) - MITRE ATT&CK: T1555 (Legitimasjonstilgang), T1071 (C2) - Nettverks-IOC-er: 3 C2-domener, 2 IP-er MalwareBazaar: Først sett 2024-03-15, tagget 'AgentTesla' ThreatFox: 2 IOC-oppføringer knyttet til samme kampanje OTX: Referert i 4 trusselpulser" ``` --- ## Verktøyreferanse (66 verktøy)

Tor-nettverk (7) — Ingen API-nøkkel (Tor-daemon kreves for .onion-verktøy)

| Verktøy | Beskrivelse | |------|-------------| | `tor_status` | Sjekk om den lokale Tor SOCKS5-proxy-daemonen kjører og er tilgjengelig | | `tor_fetch_onion` | Hent rå HTML fra en .onion-URL via Tor SOCKS5-proxy (DNS-lekkasjeforebygging via socks5h) | | `tor_scrape_onion` | Hent og analyser et .onion-nettsted — returnerer strukturerte data: tittel, lenker, brødtekst | | `tor_search_onion` | Søk etter .onion-nettsteder ved hjelp av Ahmia.fi-søkemotoren | | `tor_exit_nodes` | Hent nåværende Tor-utgangsnodeadresser fra den offisielle Tor Project-masseutgangslisten | | `tor_exit_check` | Sjekk om en spesifikk IP-adresse er en kjent Tor-utgangsnode | | `tor_exit_details` | Få detaljert informasjon om Tor-utgangsnoder inkludert fingeravtrykk og publiseringstidsstempler |

Ransomware-etterretning (9) — Ingen API-nøkkel

| Verktøy | Beskrivelse | |------|-------------| | `ransomwareRecent` | Hent de nyeste ransomware-ofrene fra ransomware.live | | `ransomwareGroups` | List alle kjente ransomware-grupper sporet av ransomware.live | | `ransomwareGroup` | Få en detaljert profil for en spesifikk ransomware-gruppe etter navn | | `ransomwareGroupVictims` | Hent alle ofre hevdet av en spesifikk ransomware-gruppe | | `ransomwareSearch` | Søk etter ransomware-ofre med nøkkelord (firmanavn, domene, osv.) | | `ransomwareByCountry` | Hent ransomware-ofre filtrert etter ISO 3166-1 alpha-2 landkode | | `ransomwareBySector` | Hent ransomware-ofre filtrert etter sektor/bransje (helse, finans, osv.) | | `ransomlookGroups` | List alle 582+ ransomware-grupper sporet av RansomLook | | `ransomlookRecent` | Hent de nyeste ransomware-innleggene og offerkravene fra RansomLook |

Innbruddsetterretning — HIBP (7) — Delvis: noen verktøy gratis, kontosøk krever HIBP_API_KEY

| Verktøy | Beskrivelse | |------|-------------| | `breachList` | List alle kjente datainnbrudd fra HaveIBeenPwned, valgfritt filtrert etter domene — gratis | | `breachGet` | Få detaljer om et spesifikt datainnbrudd etter navn — gratis | | `breachLatest` | Hent det sist lagt til datainnbruddet — gratis | | `breachDataClasses` | List alle dataklasser (typer kompromitterte data) kjent for HIBP — gratis | | `breachPassword` | Sjekk om et passord har dukket opp i kjente innbrudd (k-anonymity, bare 5-tegns SHA-1-prefiks sendes) — gratis | | `breachSearch` | Søk i alle innbrudd etter en spesifikk konto (e-post/brukernavn) — krever `HIBP_API_KEY` | | `breachPastes` | Søk etter en e-postadresse i offentlig publiserte lim — krever `HIBP_API_KEY` |

abuse.ch-pakken (9) — Ingen API-nøkkel (ABUSECH_AUTH_KEY valgfritt for høyere rate)

| Verktøy | Beskrivelse | |------|-------------| | `threatfoxGetIocs` | Hent nylige IOC-er fra ThreatFox rapportert de siste N dagene | | `threatfoxSearch` | Søk i ThreatFox IOC-er etter IP, domene, hash eller URL | | `threatfoxTag` | Søk i ThreatFox IOC-er etter tag (f.eks. Cobalt Strike, Emotet) | | `threatfoxMalware` | Søk i ThreatFox IOC-er etter skadevare-familie med Malpedia-navngiving | | `urlhausLookup` | Slå opp en URL eller vert i URLhaus for skadevaredistrubusjon | | `urlhausTag` | Søk URLhaus-oppføringer etter tag | | `bazaarHash` | Slå opp en skadevareprogrøve i MalwareBazaar etter MD5, SHA1 eller SHA256 hash | | `bazaarRecent` | Hent de sist innsendte skadevareprøvene fra MalwareBazaar | | `bazaarTag` | Søk i MalwareBazaar etter tag eller YARA-signaturnavn |

AlienVault OTX (5) — Ingen API-nøkkel (OTX_API_KEY valgfritt for høyere rate)

| Verktøy | Beskrivelse | |------|-------------| | `otx_ip` | Slå opp trusselintelligens for en IP-adresse — pulsinformasjon, omdømme, land, ASN | | `otx_domain` | Slå opp trusselintelligens for et domene — pulsinformasjon, whois, omdømme | | `otx_hash` | Slå opp trusselintelligens for en filhash (MD5, SHA1, SHA256) | | `otx_cve` | Slå opp trusselintelligens for en CVE — relaterte pulser og indikatorer | | `otx_search_pulses` | Søk i OTX-trusselpulser etter nøkkelord |

AbuseIPDB (4) — Krever ABUSEIPDB_API_KEY

| Verktøy | Beskrivelse | |------|-------------| | `abuseipdb_check` | Sjekk en IP-adresse for misbruksrapporter — tillitspoeng, ISP, land, rapportantall | | `abuseipdb_reports` | Hent individuelle misbruksrapporter for en IP med detaljerte kommentarer og kategorier | | `abuseipdb_blacklist` | Hent AbuseIPDBs svarteliste over de mest rapporterte ondsinnede IP-adressene | | `abuseipdb_check_block` | Sjekk en hel CIDR-nettverksblokk for misbruksrapporter |

GreyNoise Community (2) — Ingen API-nøkkel

| Verktøy | Beskrivelse | |------|-------------| | `greynoise_ip` | Slå opp en IP på GreyNoise — klassifisering (godartet/ondsinnet/ukjent), skannerstatus | | `greynoise_check` | Hurtigsjekk: er denne IP-en en kjent skanner eller kjent godartet tjeneste? |

Pulsedive (3) — Ingen API-nøkkel (PULSEDIVE_API_KEY valgfritt for høyere rate)

| Verktøy | Beskrivelse | |------|-------------| | `pulsedive_indicator` | Slå opp en indikator (IP, domene, URL eller hash) — risikonivå, trusler, strømmer | | `pulsedive_search` | Søk i Pulsedive-indikatorer etter verdi | | `pulsedive_explore` | Utforsk tilknyttede indikatorer ved hjelp av avanserte spørringer (relaterte IOC-er med risikonivåer) |

Hudson Rock Stealer-logger (3) — Krever HUDSONROCK_API_KEY

| Verktøy | Beskrivelse | |------|-------------| | `stealer_domain` | Søk i stealer-loggoppføringer etter domene — kompromitterte maskiner, legitimasjoner, skadevardetaljer | | `stealer_email` | Søk i stealer-logger etter e-postadresse — kompromitterte maskiner med den e-posten i nettleserlegitimasjoner | | `stealer_ip` | Søk i stealer-logger etter IP-adresse — kompromitterte maskiner med opprinnelse fra den IP-en |

Vulners-utnyttelser (3) — Ingen API-nøkkel (VULNERS_API_KEY valgfritt for søk)

| Verktøy | Beskrivelse | |------|-------------| | `vulners_search` | Søk i Vulners sårbarhetsdatabase med Lucene-spørringer | | `vulners_id` | Slå opp en spesifikk sårbarhet eller utnyttelse etter ID (CVE, EDB, GHSA) — gratis | | `vulners_exploit` | Søk spesifikt etter utnyttelser (ExploitDB-oppføringer) |

Blokkjede-etterretning (4) — Ingen API-nøkkel

| Verktøy | Beskrivelse | |------|-------------| | `btc_address` | Slå opp en Bitcoin-adresse — saldo, transaksjonstall, nylige transaksjoner | | `btc_balance` | Hent Bitcoin-adressesaldo i satoshi (hurtigsjekk uten full historikk) | | `btc_tx` | Få detaljert Bitcoin-transaksjonsinformasjon etter hash — inndata, utdata, gebyrer, blokkinformasjon | | `btc_abuse_check` | Sjekk en Bitcoin-adresse for misbruksrapporter på ChainAbuse — svindelrapporter med kategorier |

Hybrid Analysis Skadevare (3) — Krever HYBRID_API_KEY

| Verktøy | Beskrivelse | |------|-------------| | `malware_search` | Søk i Hybrid Analysis-sandkassen etter filhash — dom, AV-deteksjonsrate, analysedetaljer | | `malware_overview` | Full skadevareanalyseoversikt — MITRE ATT&CK-teknikker, nettverksindikatorer, prosesser | | `malware_feed` | Hent den nyeste skadevareutviklingsstrømmen — nylig analyserte prøver med dommer |

CIRCL Onion Lookup (1) — Ingen API-nøkkel

| Verktøy | Beskrivelse | |------|-------------| | `onion_lookup` | Slå opp metadata for en .onion-adresse via CIRCL AIL-prosjektet — først/sist sett, status, tagger, sertifikater, porter, BTC-adresser |

IntelligenceX (4) — Krever INTELX_API_KEY

| Verktøy | Beskrivelse | |------|-------------| | `intelx_search` | Start et søk på IntelligenceX etter lekkede data, morkenettinnhold og mer | | `intelx_search_results` | Hent resultater for et IntelligenceX-søk etter ID | | `intelx_phonebook` | Telefonboksøk — finn e-poster, domener, URL-er knyttet til et begrep | | `intelx_phonebook_results` | Hent telefonboksøkeresultater etter ID |

PhishTank (1) — Ingen API-nøkkel (PHISHTANK_API_KEY valgfritt for høyere rate)

| Verktøy | Beskrivelse | |------|-------------| | `phishing_check` | Sjekk om en URL er et kjent phishing-nettsted via PhishTank |

Meta (1) — Ingen API-nøkkel

| Verktøy | Beskrivelse | |------|-------------| | `darknet_list_sources` | List alle tilgjengelige datakilder med konfigurasjonsstatus, API-nøkkelstatus og verktøytelling |

--- ### CLI-bruk ```bash # List alle tilgjengelige verktøy npx darknet-mcp-server --list # Sjekk Tor SOCKS5-proxy-tilkobling npx darknet-mcp-server --check-tor # Kjør et hvilket som helst verktøy direkte npx darknet-mcp-server --tool breachList '{"domain":"adobe.com"}' npx darknet-mcp-server --tool ransomwareRecent '{}' npx darknet-mcp-server --tool tor_search_onion '{"query":"marketplace"}' npx darknet-mcp-server --tool btc_address '{"address":"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa"}' # Verktøy som krever API-nøkler HIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{"account":"user@example.com"}' HYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{"hash":"abc123..."}' ``` --- ## Datakilder (16) | Kilde | Autentisering | Rategrense | Hva den gir | |--------|------|-----------|-----------------| | [Have I Been Pwned](https://haveibeenpwned.com) | `HIBP_API_KEY` | 1 forespørsel/1,5s | Innbruddssøk, limsøk, passordsjekk, innbruddslister | | [IntelligenceX](https://intelx.io) | `INTELX_API_KEY` | 1 forespørsel/s | Morkenettinnhold, lekkede datasøk, telefonbok (e-poster/domener/URL-er) | | [AlienVault OTX](https://otx.alienvault.com) | Valgfritt | 1 forespørsel/s | Trusselintelligens for IP-er, domener, hasher, CVE-er; trusselpulssøk | | [AbuseIPDB](https://www.abuseipdb.com) | `ABUSEIPDB_API_KEY` | 1 forespørsel/s | IP-misbruksrapporter, tillitspoeng, svarteliste, CIDR-blokksjekk | | [abuse.ch (ThreatFox)](https://threatfox.abuse.ch) | Valgfritt | 2 forespørsler/s | IOC-søk, skadevare-familiesporing, tag-basert søk | | [abuse.ch (URLhaus)](https://urlhaus.abuse.ch) | Valgfritt | 2 forespørsler/s | Skadevaredistriusjons-URL-sporing, vert/URL-oppslag | | [abuse.ch (MalwareBazaar)](https://bazaar.abuse.ch) | Valgfritt | 2 forespørsler/s | Skadevareprøve-arkiv, hash-oppslag, YARA-signatursøk | | [GreyNoise](https://www.greynoise.io) | Ingen | 1 forespørsel/s | IP-klassifisering (godartet/ondsinnet), internettskanner-deteksjon | | [Pulsedive](https://pulsedive.com) | Valgfritt | 1 forespørsel/s | Indikator-berikelse, risikovurdering, tilknyttet IOC-utforskning | | [Hudson Rock Cavalier](https://cavalier.hudsonrock.com) | `HUDSONROCK_API_KEY` | 1 forespørsel/s | Stealer-loggsøk etter domene, e-post eller IP | | [Vulners](https://vulners.com) | Valgfritt | 1 forespørsel/s | Sårbarhet/utnyttelsesdatabase, CVE-oppslag, ExploitDB-søk | | [Blockchain.info](https://blockchain.info) | Ingen | 1 forespørsel/s | Bitcoin-adresseoppslag, saldo, transaksjonsdetaljer | | [ChainAbuse](https://www.chainabuse.com) | Ingen | 1 forespørsel/s | Bitcoin-adresse misbruk/svindelrapporter | | [Hybrid Analysis](https://hybrid-analysis.com) | `HYBRID_API_KEY` | 1 forespørsel/s | Skadevare-sandkassedetonering, MITRE ATT&CK-kartlegging, prøvestrøm | | [CIRCL AIL (Onion Lookup)](https://onion.ail-project.org) | Ingen | 0,5 forespørsel/s | .onion-adressemetadata, først/sist sett, tilknyttede BTC-adresser | | [Tor Network](https://www.torproject.org) | Ingen | N/A | Utgangsnnodeliste, .onion-henting/skraping, Ahmia.fi-søk | --- ## Arkitektur ``` src/ index.ts # CLI-inngangspunkt (--help, --list, --check-tor, stdio-server) protocol/ mcp-server.ts # MCP-serveroppsett (stdio-transport) tools.ts # Verktøyregister — alle 66 verktøy samlet her types/ index.ts # Delte typer (ToolDef, ToolContext, ToolResult) utils/ rate-limiter.ts # Ratebegrenser per leverandør cache.ts # TTL-hurtigbuffer for API-svar tor-fetch.ts # Tor SOCKS5 proxy HTTP-klient require-key.ts # API-nøkkelvalideringshjelper tor/ # Tor-nettverksverktøy (7) ransomware/ # Ransomware-etterretningsverktøy (9) breach/ # HIBP-innbruddsverktøy (7) abusech/ # ThreatFox + URLhaus + MalwareBazaar-verktøy (9) otx/ # AlienVault OTX-verktøy (5) abuseipdb/ # AbuseIPDB-verktøy (4) greynoise/ # GreyNoise Community-verktøy (2) pulsedive/ # Pulsedive-verktøy (3) hudsonrock/ # Hudson Rock stealer-loggverktøy (3) vulners/ # Vulners utnyttelsesverktøy (3) blockchain/ # Blokkjede-etterretningsverktøy (4) hybrid/ # Hybrid Analysis skadevareverkøy (3) onionlookup/ # CIRCL Onion Lookup-verktøy (1) intelx/ # IntelligenceX-verktøy (4) phishing/ # PhishTank-verktøy (1) meta/ # Meta-verktøy (1) ``` **Designbeslutninger:** - **16 leverandører, 1 server** — Hver datakilde er en uavhengig modul. Agenten velger hvilke verktøy som skal brukes basert på spørringen. - **Ratebegrensere per leverandør** — Hver datakilde har sin egen `RateLimiter`-instans kalibrert til det API-ets grenser. Ingen delt flaskehals. - **TTL-hurtigbuffer** — Ransomware-data (15 min), innbruddslister (10 min), abuse.ch-resultater (5 min) caches for å unngå overflødige API-kall under flerverktøy-arbeidsflyter. - **Grasiøs degradering** — Manglende API-nøkler krasjer ikke serveren. Verktøy returnerer beskrivende feilmeldinger: "Sett HIBP_API_KEY for å aktivere innbruddskontosøk." - **DNS-lekkasjeforebygging** — Tor .onion-verktøy bruker `socks5h://`-protokollen for å løse DNS gjennom Tor, som forhindrer DNS-lekkasjer til den lokale løseren. - **4 avhengigheter** — `@modelcontextprotocol/sdk`, `zod`, `socks-proxy-agent` og `cheerio`. All clearnet HTTP via native `fetch`. All Tor-trafikk via SOCKS5. --- ## Begrensninger - HIBP konto/limsøk krever en betalt API-nøkkel ($3,50/måned) - IntelligenceX, AbuseIPDB, Hudson Rock og Hybrid Analysis krever API-nøkler for verktøyene sine - Tor .onion-verktøy krever en kjørende Tor SOCKS5-proxy (ikke inkludert) - abuse.ch gratis nivå har lavere rategrenser uten `ABUSECH_AUTH_KEY` - Ransomware.live og RansomLook-data avhenger av oppstrøms skrapingsfrekvens - Blokkjedeverktøy støtter kun Bitcoin (ingen Ethereum/Monero) - PhishTank-databasen kan ligge etter sanntids phishing-kampanjer - macOS / Linux testet (Windows ikke testet) --- ## Del av MCP-sikkerhetspakken | Prosjekt | Domene | Verktøy | |---|---|---| | [hackbrowser-mcp](https://github.com/badchars/hackbrowser-mcp) | Nettleserbasert sikkerhetstesting | 39 verktøy, Firefox, injeksjonstesting | | [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) | Skysikkerhet (AWS/Azure/GCP) | 38 verktøy, 60+ sjekker | | [github-security-mcp](https://github.com/badchars/github-security-mcp) | GitHub-sikkerhetsstilling | 39 verktøy, 45 sjekker | | [cve-mcp](https://github.com/badchars/cve-mcp) | Sårbarhetsetterretning | 23 verktøy, 5 kilder | | [osint-mcp-server](https://github.com/badchars/osint-mcp-server) | OSINT og rekognosering | 37 verktøy, 12 kilder | | **darknet-mcp-server** | **Morkenett og trusselintelligens** | **66 verktøy, 16 kilder** | ---

Kun for autorisert sikkerhetstesting og vurdering.
Sørg alltid for at du har riktig autorisasjon før du utfører etterretningsinnsamling på noe mål.

MIT-lisens • Bygget med Bun + TypeScript