badchars/darknet-mcp-server

English | 简体中文 | 繁體中文 | 한국어 | Deutsch | Español | Français | Italiano | Dansk | 日本語 | Polski | Русский | Bosanski | العربية | Norsk | Português (Brasil) | ไทย | Türkçe | Українська | বাংলা | Ελληνικά | Tiếng Việt | हिन्दी

Dark-Web- und Bedrohungsintelligenz fuer KI-Agenten.

HIBP, ThreatFox, Ransomware-Tracking, Tor-.onion-Zugriff, Blockchain-Intelligenz, Exploit-Suche, Stealer-Logs, Malware-Analyse — vereint in einem einzigen MCP-Server.
Ihr KI-Agent erhaelt vollumfaengliche Dark-Web-Intelligenz auf Abruf, nicht 16 Browser-Tabs und manuelle Korrelation.

Das Problem • Was anders ist • Schnellstart • Was die KI kann • Werkzeuge (66) • Datenquellen • Architektur • Changelog • Mitwirken

Das Problem

Dark-Web-Intelligenz ist die fehlende Schicht in jeder Sicherheitsuntersuchung. Breach-Datenbanken, Ransomware-Tracker, versteckte Tor-Dienste, Malware-Sandboxen, Stealer-Logs, Blockchain-Forensik, Exploit-Datenbanken — die benoetigten Daten sind ueber Dutzende von Plattformen verstreut, jede mit ihrer eigenen API, eigener Authentifizierung, eigenen Ratenbegrenzungen und eigenem Ausgabeformat. Heute pruefen Sie HIBP in einem Tab, ThreatFox in einem anderen, durchsuchen Ransomware-Leak-Seiten ueber Tor, rufen MalwareBazaar fuer einen Hash auf, pruefen Blockchain-Transaktionen in einem Block-Explorer und verbringen dann eine Stunde damit, alles manuell zusammenzufuegen.

Traditioneller Dark-Web-Intel-Workflow:
  Breach-Exposition pruefen        ->  HIBP-Weboberflaeche (kostenpflichtige API)
  Geleakte Zugangsdaten suchen     ->  IntelligenceX-Weboberflaeche
  Ransomware-Gruppen verfolgen     ->  ransomware.live + ransomlook.io (2 separate UIs)
  .onion-Hidden-Services aufrufen  ->  Tor-Browser manuell
  Malware-Proben analysieren       ->  Hybrid Analysis + MalwareBazaar (2 weitere UIs)
  IP-Missbrauchshistorie pruefen   ->  AbuseIPDB + GreyNoise (2 weitere UIs)
  Kryptowaehrung verfolgen         ->  blockchain.info + ChainAbuse
  Exploits suchen                  ->  Vulners-Weboberflaeche
  Phishing-URLs pruefen            ->  PhishTank-Weboberflaeche
  Alles korrelieren                ->  Kopieren und Einfuegen in einen Bericht
  ────────────────────────────────
  Gesamt: 60+ Minuten pro Untersuchung, der Grossteil davon Kontextwechsel

darknet-mcp-server gibt Ihrem KI-Agenten 66 Werkzeuge aus 16 Datenquellen ueber das Model Context Protocol. Der Agent fragt alle Quellen parallel ab, korreliert Daten aus dem Surface- und Dark-Web, identifiziert Bedrohungen und praesentiert ein einheitliches Nachrichtenbild — in einem einzigen Gespraech.

Mit darknet-mcp-server:
  Sie: "Untersuche die Breach-Exposition und die Bedrohungslandschaft fuer target.com"

  Agent: -> HIBP: 3 bekannte Breaches (Adobe 2013, LinkedIn 2021, Collection #1)
         -> ThreatFox: 2 IOCs mit der Domain verknuepft (C2-Callback, Phishing)
         -> URLhaus: 1 boesartige URL auf einer Subdomain gehostet
         -> Ransomware: Keine Opfereintraege gefunden (gut)
         -> Stealer-Logs: 47 kompromittierte Mitarbeiterzugangsdaten gefunden
         -> OTX: 5 Bedrohungs-Pulses referenzieren die Domain
         -> AbuseIPDB: Primaere IP hat 12 Missbrauchsmeldungen (Brute-Force)
         -> "target.com war an 3 Datenlecks beteiligt, die 2,1 Mio. Datensaetze
            exponiert haben. 47 Mitarbeiterzugangsdaten in Stealer-Logs
            gefunden — sofortige Passwortzuruecksetzung empfohlen. 2 aktive
            ThreatFox-IOCs deuten auf andauerndes Targeting hin. Keine
            Ransomware-Eintraege, aber die Missbrauchsmeldungen zur
            primaeren IP erfordern eine Untersuchung."

Was anders ist

Bestehende Werkzeuge liefern Ihnen Rohdaten jeweils aus einer Quelle. darknet-mcp-server gibt Ihrem KI-Agenten die Faehigkeit, Surface-Web- und Dark-Web-Intelligenz gleichzeitig zu analysieren.

Schnellstart

Option 1: npx (keine Installation)

npx darknet-mcp-server

Kostenlose Werkzeuge funktionieren sofort. Kein API-Schluessel erforderlich fuer Ransomware-Tracking, Breach-Listen, GreyNoise, Blockchain, OTX und mehr.

Option 2: Klonen

git clone https://github.com/badchars/darknet-mcp-server.git
cd darknet-mcp-server
bun install

Umgebungsvariablen (optional)

# Breach- und Zugangsdaten-Intelligenz
export HIBP_API_KEY=your-key           # Aktiviert Breach-Kontosuche und Paste-Suche
export INTELX_API_KEY=your-key         # Aktiviert 4 IntelligenceX-Werkzeuge

# Bedrohungsintelligenz
export OTX_API_KEY=your-key            # Erhoeht AlienVault-OTX-Ratenlimits
export ABUSEIPDB_API_KEY=your-key      # Aktiviert 4 AbuseIPDB-Werkzeuge
export ABUSECH_AUTH_KEY=your-key       # Hoehere Ratenlimits fuer die abuse.ch-Suite
export PULSEDIVE_API_KEY=your-key      # Hoehere Ratenlimits fuer Pulsedive

# Stealer-Logs und Zugangsdaten
export HUDSONROCK_API_KEY=your-key     # Aktiviert 3 Hudson-Rock-Stealer-Log-Werkzeuge

# Exploit- und Malware-Analyse
export VULNERS_API_KEY=your-key        # Aktiviert Vulners-Such- und Exploit-Werkzeuge
export HYBRID_API_KEY=your-key         # Aktiviert 3 Hybrid-Analysis-Malware-Werkzeuge

# Phishing
export PHISHTANK_API_KEY=your-key      # Hoehere Ratenlimits fuer PhishTank

# Tor-SOCKS5-Proxy (fuer .onion-Zugriff)
export TOR_SOCKS_HOST=127.0.0.1       # Standard: 127.0.0.1
export TOR_SOCKS_PORT=9050            # Standard: 9050

Alle API-Schluessel sind optional. Ohne sie erhalten Sie weiterhin Ransomware-Tracking, Breach-Listen, GreyNoise, Blockchain-Intelligenz, OTX, Tor-Exit-Node-Pruefungen, Onion-Suche, CIRCL-Onion-Lookup und mehr.

Mit Ihrem KI-Agenten verbinden

# Mit npx
claude mcp add darknet-mcp-server -- npx darknet-mcp-server

# Mit lokalem Klon
claude mcp add darknet-mcp-server -- bun run /path/to/darknet-mcp-server/src/index.ts

{
  "mcpServers": {
    "darknet": {
      "command": "npx",
      "args": ["-y", "darknet-mcp-server"],
      "env": {
        "HIBP_API_KEY": "optional",
        "INTELX_API_KEY": "optional",
        "ABUSEIPDB_API_KEY": "optional",
        "HUDSONROCK_API_KEY": "optional",
        "HYBRID_API_KEY": "optional",
        "VULNERS_API_KEY": "optional"
      }
    }
  }
}

Tor-Einrichtung (optional, fuer .onion-Zugriff)

Die 7 Tor-Werkzeuge (tor_fetch_onion, tor_scrape_onion usw.) erfordern einen laufenden Tor-SOCKS5-Proxy.

# macOS
brew install tor && brew services start tor

# Linux
sudo apt install tor && sudo systemctl start tor

# Docker
docker run -d -p 9050:9050 dperson/torproxy

# Konnektivitaet pruefen
npx darknet-mcp-server --check-tor

Abfragen starten

Sie: "Pruefe ob example.com von Datenbreaches betroffen ist und suche nach Stealer-Logs"

Das war's. Der Agent uebernimmt Breach-Abfragen, Zugangsdaten-Suche, Bedrohungskorrelation und mehr automatisch.

Was die KI kann

Breach-Untersuchung

Sie: "Pruefe ob example.com von Datenbreaches betroffen ist"

Agent: -> breachList {domain: "example.com"}
       -> breachSearch {account: "[email protected]"}
       -> stealer_domain {domain: "example.com"}
       -> intelx_search {term: "example.com"}
       -> "example.com erscheint in 5 bekannten Breaches:
          - ExampleDB 2023: 4,2 Mio. Datensaetze (E-Mails, Passwoerter, IPs)
          - Collection #1: Credential-Stuffing-Liste
          - Combolist 2024: 890.000 E-Mail:Passwort-Paare
          Stealer-Logs: 23 kompromittierte Rechner mit gespeicherten
          Zugangsdaten fuer example.com in der Hudson-Rock-Datenbank gefunden.
          IntelligenceX: 47 Ergebnisse auf Paste-Seiten und im Dark Web."

Ransomware-Tracking

Sie: "Welche Ransomware-Gruppen zielen auf das Gesundheitswesen ab?"

Agent: -> ransomwareBySector {sector: "healthcare"}
       -> ransomwareRecent {}
       -> ransomlookRecent {}
       -> "Ransomware-Aktivitaet im Gesundheitswesen:
          142 Opfer ueber 12 Gruppen in den letzten 12 Monaten.
          Fuehrende Gruppen: LockBit3 (38 Opfer), BlackCat/ALPHV (24),
          Cl0p (19), Royal (15).
          Neueste: MedCorp Inc. von LockBit3 gelistet (vor 2 Tagen).
          3 neue Gesundheitswesen-Opfer in der letzten Woche in den
          ransomware.live- und RansomLook-Feeds."

Dark-Web-Aufklaerung

Sie: "Suche nach Erwaehnung unserer Firma auf .onion-Seiten"

Agent: -> tor_search_onion {query: "AcmeCorp"}
       -> intelx_search {term: "acmecorp.com"}
       -> onion_lookup {address: "relevant-onion-address.onion"}
       -> "Dark-Web-Suchergebnisse fuer AcmeCorp:
          Ahmia.fi: 3 .onion-Seiten erwaehnen AcmeCorp
          - Forumsbeitrag diskutiert AcmeCorp-Mitarbeiterliste (Leak-Forum)
          - Marktplatz-Eintrag fuer AcmeCorp-Datenbank (unbestaetigt)
          - Blogbeitrag referenziert AcmeCorp-Breach
          IntelligenceX: 12 Ergebnisse auf Paste-Seiten
          Empfehlung: Forumsbeitrag und Marktplatz-Eintrag
          auf moeglichen aktiven Datenverkauf untersuchen."

Malware-Analyse

Sie: "Analysiere diesen Datei-Hash auf Malware-Indikatoren: abc123def456..."

Agent: -> malware_search {hash: "abc123def456..."}
       -> malware_overview {sha256: "abc123def456..."}
       -> bazaarHash {hash: "abc123def456..."}
       -> threatfoxSearch {searchTerm: "abc123def456..."}
       -> otx_hash {hash: "abc123def456..."}
       -> "Malware-Analyse fuer abc123def456:
          Hybrid Analysis: BOESARTIG (Bedrohungswert 95/100)
          - Familie: AgentTesla (Info-Stealer)
          - MITRE ATT&CK: T1555 (Zugangsdaten-Zugriff), T1071 (C2)
          - Netzwerk-IOCs: 3 C2-Domains, 2 IPs
          MalwareBazaar: Erstmals gesehen 2024-03-15, getaggt 'AgentTesla'
          ThreatFox: 2 IOC-Eintraege verknuepft mit derselben Kampagne
          OTX: In 4 Bedrohungs-Pulses referenziert"

Werkzeug-Referenz (66 Werkzeuge)

CLI-Verwendung

# Alle verfuegbaren Werkzeuge auflisten
npx darknet-mcp-server --list

# Tor-SOCKS5-Proxy-Konnektivitaet pruefen
npx darknet-mcp-server --check-tor

# Jedes Werkzeug direkt ausfuehren
npx darknet-mcp-server --tool breachList '{"domain":"adobe.com"}'
npx darknet-mcp-server --tool ransomwareRecent '{}'
npx darknet-mcp-server --tool tor_search_onion '{"query":"marketplace"}'
npx darknet-mcp-server --tool btc_address '{"address":"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa"}'

# Werkzeuge, die API-Schluessel erfordern
HIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{"account":"[email protected]"}'
HYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{"hash":"abc123..."}'

Datenquellen (16)

Architektur

src/
  index.ts                # CLI-Einstiegspunkt (--help, --list, --check-tor, stdio-Server)
  protocol/
    mcp-server.ts         # MCP-Server-Setup (stdio-Transport)
    tools.ts              # Werkzeug-Registry — alle 66 Werkzeuge hier zusammengestellt
  types/
    index.ts              # Gemeinsame Typen (ToolDef, ToolContext, ToolResult)
  utils/
    rate-limiter.ts       # Pro-Provider-Ratenbegrenzer
    cache.ts              # TTL-Cache fuer API-Antworten
    tor-fetch.ts          # Tor-SOCKS5-Proxy-HTTP-Client
    require-key.ts        # API-Schluessel-Validierungshelfer
  tor/                    # Tor-Netzwerk-Werkzeuge (7)
  ransomware/             # Ransomware-Intelligenz-Werkzeuge (9)
  breach/                 # HIBP-Breach-Werkzeuge (7)
  abusech/                # ThreatFox + URLhaus + MalwareBazaar-Werkzeuge (9)
  otx/                    # AlienVault-OTX-Werkzeuge (5)
  abuseipdb/              # AbuseIPDB-Werkzeuge (4)
  greynoise/              # GreyNoise-Community-Werkzeuge (2)
  pulsedive/              # Pulsedive-Werkzeuge (3)
  hudsonrock/             # Hudson-Rock-Stealer-Log-Werkzeuge (3)
  vulners/                # Vulners-Exploit-Werkzeuge (3)
  blockchain/             # Blockchain-Intelligenz-Werkzeuge (4)
  hybrid/                 # Hybrid-Analysis-Malware-Werkzeuge (3)
  onionlookup/            # CIRCL-Onion-Lookup-Werkzeug (1)
  intelx/                 # IntelligenceX-Werkzeuge (4)
  phishing/               # PhishTank-Werkzeug (1)
  meta/                   # Meta-Werkzeuge (1)

Design-Entscheidungen:

• 16 Provider, 1 Server — Jede Datenquelle ist ein unabhaengiges Modul. Der Agent waehlt basierend auf der Abfrage, welche Werkzeuge verwendet werden.
• Pro-Provider-Ratenbegrenzer — Jede Datenquelle hat ihre eigene RateLimiter-Instanz, kalibriert auf die Limits dieser API. Kein gemeinsamer Engpass.
• TTL-Caching — Ransomware-Daten (15 Min.), Breach-Listen (10 Min.), abuse.ch-Ergebnisse (5 Min.) werden gecacht, um redundante API-Aufrufe in Multi-Tool-Workflows zu vermeiden.
• Graceful Degradation — Fehlende API-Schluessel bringen den Server nicht zum Absturz. Werkzeuge geben beschreibende Fehlermeldungen zurueck: "Setzen Sie HIBP_API_KEY, um die Breach-Kontosuche zu aktivieren."
• DNS-Leak-Praevention — Tor-.onion-Werkzeuge verwenden das socks5h://-Protokoll, um DNS ueber Tor aufzuloesen und DNS-Leaks zum lokalen Resolver zu verhindern.
• 4 Abhaengigkeiten — @modelcontextprotocol/sdk, zod, socks-proxy-agent und cheerio. Alle Clearnet-HTTP-Anfragen ueber natives fetch. Aller Tor-Verkehr ueber SOCKS5.

Einschraenkungen

• HIBP-Konto-/Paste-Suche erfordert einen kostenpflichtigen API-Schluessel ($3,50/Monat)
• IntelligenceX-, AbuseIPDB-, Hudson-Rock- und Hybrid-Analysis-Werkzeuge erfordern API-Schluessel
• Tor-.onion-Werkzeuge erfordern einen laufenden Tor-SOCKS5-Proxy (nicht enthalten)
• abuse.ch-Free-Tier hat niedrigere Ratenlimits ohne ABUSECH_AUTH_KEY
• Ransomware.live- und RansomLook-Daten haengen von der Upstream-Scraping-Frequenz ab
• Blockchain-Werkzeuge unterstuetzen nur Bitcoin (kein Ethereum/Monero)
• PhishTank-Datenbank kann hinter Echtzeit-Phishing-Kampagnen zurueckliegen
• macOS / Linux getestet (Windows nicht getestet)

Teil der MCP-Sicherheits-Suite

Nur fuer autorisierte Sicherheitstests und -bewertungen.
Stellen Sie immer sicher, dass Sie die entsprechende Genehmigung haben, bevor Sie Informationsgewinnung zu einem Ziel durchfuehren.

MIT-Lizenz • Erstellt mit Bun + TypeScript