badchars/darknet-mcp-server

English | 简体中文 | 繁體中文 | 한국어 | Deutsch | Español | Français | Italiano | Dansk | 日本語 | Polski | Русский | Bosanski | العربية | Norsk | Português (Brasil) | ไทย | Türkçe | Українська | বাংলা | Ελληνικά | Tiếng Việt | हिन्दी

Renseignement du dark web et des menaces pour les agents IA.

HIBP, ThreatFox, suivi de ransomware, acces Tor .onion, renseignement blockchain, recherche d'exploits, logs de stealers, analyse de malware — unifie dans un seul serveur MCP.
Votre agent IA obtient un renseignement dark web a spectre complet a la demande, pas 16 onglets de navigateur et une correlation manuelle.

Le Probleme • Ce qui le differencie • Demarrage Rapide • Ce que l'IA peut faire • Outils (66) • Sources de Donnees • Architecture • Changelog • Contribuer

Le Probleme

Le renseignement du dark web est la couche manquante dans chaque investigation de securite. Bases de donnees de fuites, traqueurs de ransomware, services caches Tor, sandboxes de malware, logs de stealers, forensique blockchain, bases de donnees d'exploits — les donnees dont vous avez besoin sont dispersees sur des dizaines de plateformes, chacune avec sa propre API, sa propre authentification, ses propres limites de debit, son propre format de sortie. Aujourd'hui vous consultez HIBP dans un onglet, ThreatFox dans un autre, parcourez les sites de fuites de ransomware via Tor, recherchez un hash sur MalwareBazaar, verifiez les transactions blockchain sur un explorateur de blocs, puis passez une heure a assembler le tout manuellement.

Flux de travail traditionnel de renseignement dark web :
  verifier l'exposition aux fuites      ->  Interface web HIBP (API payante)
  rechercher des identifiants fuites     ->  Interface web IntelligenceX
  suivre les groupes de ransomware       ->  ransomware.live + ransomlook.io (2 interfaces separees)
  acceder aux services caches .onion     ->  Navigateur Tor manuellement
  analyser des echantillons de malware   ->  Hybrid Analysis + MalwareBazaar (2 interfaces de plus)
  verifier l'historique d'abus d'IP      ->  AbuseIPDB + GreyNoise (2 interfaces de plus)
  tracer la cryptomonnaie                ->  blockchain.info + ChainAbuse
  rechercher des exploits                ->  Interface web Vulners
  verifier les URLs de phishing          ->  Interface web PhishTank
  correler le tout                       ->  copier-coller dans un rapport
  ────────────────────────────────
  Total : 60+ minutes par investigation, la majorite en changements de contexte

darknet-mcp-server donne a votre agent IA 66 outils provenant de 16 sources de donnees via le Model Context Protocol. L'agent interroge toutes les sources en parallele, correle les donnees du web de surface et du dark web, identifie les menaces et presente une image de renseignement unifiee — dans une seule conversation.

Avec darknet-mcp-server :
  Vous : "Investiguez l'exposition aux fuites et le paysage des menaces pour target.com"

  Agent : -> HIBP : 3 fuites connues (Adobe 2013, LinkedIn 2021, Collection #1)
          -> ThreatFox : 2 IOCs associes au domaine (callback C2, phishing)
          -> URLhaus : 1 URL malveillante hebergee sur un sous-domaine
          -> Ransomware : Aucune liste de victimes trouvee (bon signe)
          -> Logs de stealers : 47 identifiants d'employes compromis trouves
          -> OTX : 5 pulses de menaces referencant le domaine
          -> AbuseIPDB : L'IP principale a 12 signalements d'abus (force brute)
          -> "target.com a ete implique dans 3 fuites de donnees exposant
             2,1M d'enregistrements. 47 identifiants d'employes trouves dans
             les logs de stealers — reinitialisation immediate des mots de
             passe recommandee. 2 IOCs ThreatFox actifs suggerent un ciblage
             en cours. Pas de listings ransomware, mais les signalements
             d'abus sur l'IP principale justifient une investigation."

Ce qui le differencie

Les outils existants vous donnent des donnees brutes d'une source a la fois. darknet-mcp-server donne a votre agent IA la capacite de raisonner simultanement sur le renseignement du web de surface et du dark web.

Demarrage Rapide

Option 1 : npx (sans installation)

npx darknet-mcp-server

Les outils gratuits fonctionnent immediatement. Aucune cle API requise pour le suivi de ransomware, les listes de fuites, GreyNoise, blockchain, OTX et plus.

Option 2 : Cloner

git clone https://github.com/badchars/darknet-mcp-server.git
cd darknet-mcp-server
bun install

Variables d'environnement (optionnel)

# Renseignement sur les fuites et identifiants
export HIBP_API_KEY=your-key           # Active la recherche de comptes fuites et la recherche de pastes
export INTELX_API_KEY=your-key         # Active 4 outils IntelligenceX

# Renseignement sur les menaces
export OTX_API_KEY=your-key            # Augmente les limites de debit AlienVault OTX
export ABUSEIPDB_API_KEY=your-key      # Active 4 outils AbuseIPDB
export ABUSECH_AUTH_KEY=your-key       # Limites de debit plus elevees pour la suite abuse.ch
export PULSEDIVE_API_KEY=your-key      # Limites de debit plus elevees pour Pulsedive

# Logs de stealers et identifiants
export HUDSONROCK_API_KEY=your-key     # Active 3 outils de logs de stealers Hudson Rock

# Exploits et analyse de malware
export VULNERS_API_KEY=your-key        # Active les outils de recherche et d'exploits Vulners
export HYBRID_API_KEY=your-key         # Active 3 outils de malware Hybrid Analysis

# Phishing
export PHISHTANK_API_KEY=your-key      # Limites de debit plus elevees pour PhishTank

# Proxy Tor SOCKS5 (pour l'acces .onion)
export TOR_SOCKS_HOST=127.0.0.1       # Par defaut : 127.0.0.1
export TOR_SOCKS_PORT=9050            # Par defaut : 9050

Toutes les cles API sont optionnelles. Sans elles, vous obtenez toujours le suivi de ransomware, les listes de fuites, GreyNoise, le renseignement blockchain, OTX, les verifications des noeuds de sortie Tor, la recherche onion, la consultation onion CIRCL et plus.

Connecter a votre agent IA

# Avec npx
claude mcp add darknet-mcp-server -- npx darknet-mcp-server

# Avec un clone local
claude mcp add darknet-mcp-server -- bun run /path/to/darknet-mcp-server/src/index.ts

{
  "mcpServers": {
    "darknet": {
      "command": "npx",
      "args": ["-y", "darknet-mcp-server"],
      "env": {
        "HIBP_API_KEY": "optional",
        "INTELX_API_KEY": "optional",
        "ABUSEIPDB_API_KEY": "optional",
        "HUDSONROCK_API_KEY": "optional",
        "HYBRID_API_KEY": "optional",
        "VULNERS_API_KEY": "optional"
      }
    }
  }
}

Configuration de Tor (optionnel, pour l'acces .onion)

Les 7 outils Tor (tor_fetch_onion, tor_scrape_onion, etc.) necessitent un proxy Tor SOCKS5 en fonctionnement.

# macOS
brew install tor && brew services start tor

# Linux
sudo apt install tor && sudo systemctl start tor

# Docker
docker run -d -p 9050:9050 dperson/torproxy

# Verifier la connectivite
npx darknet-mcp-server --check-tor

Commencer les requetes

Vous : "Verifie si example.com a ete implique dans des fuites de donnees et cherche des logs de stealers"

C'est tout. L'agent gere les recherches de fuites, les recherches d'identifiants, la correlation des menaces et plus automatiquement.

Ce que l'IA peut faire

Investigation de Fuites

Vous : "Verifie si example.com a ete implique dans des fuites de donnees"

Agent : -> breachList {domain: "example.com"}
        -> breachSearch {account: "[email protected]"}
        -> stealer_domain {domain: "example.com"}
        -> intelx_search {term: "example.com"}
        -> "example.com apparait dans 5 fuites connues :
           - ExampleDB 2023 : 4,2M d'enregistrements (emails, mots de passe, IPs)
           - Collection #1 : liste de credential stuffing
           - Combolist 2024 : 890K paires email:mot de passe
           Logs de stealers : 23 machines compromises avec des identifiants
           enregistres pour example.com trouvees dans la base de donnees
           Hudson Rock.
           IntelligenceX : 47 resultats sur les sites de paste et le dark web."

Suivi de Ransomware

Vous : "Quels groupes de ransomware ciblent le secteur de la sante ?"

Agent : -> ransomwareBySector {sector: "healthcare"}
        -> ransomwareRecent {}
        -> ransomlookRecent {}
        -> "Activite ransomware dans le secteur de la sante :
           142 victimes reparties sur 12 groupes au cours des 12 derniers mois.
           Groupes principaux : LockBit3 (38 victimes), BlackCat/ALPHV (24),
           Cl0p (19), Royal (15).
           Plus recent : MedCorp Inc. listee par LockBit3 (il y a 2 jours).
           3 nouvelles victimes du secteur sante au cours de la derniere
           semaine dans les flux ransomware.live et RansomLook."

Reconnaissance Dark Web

Vous : "Recherche les mentions de notre entreprise sur les sites .onion"

Agent : -> tor_search_onion {query: "AcmeCorp"}
        -> intelx_search {term: "acmecorp.com"}
        -> onion_lookup {address: "relevant-onion-address.onion"}
        -> "Resultats de recherche dark web pour AcmeCorp :
           Ahmia.fi : 3 pages .onion mentionnent AcmeCorp
           - Post de forum discutant de la liste d'employes AcmeCorp (forum de fuites)
           - Annonce sur un marketplace pour la base de donnees AcmeCorp (non verifie)
           - Article de blog referencant la fuite AcmeCorp
           IntelligenceX : 12 resultats sur les sites de paste
           Recommandation : investiguer le post du forum et l'annonce
           du marketplace pour une potentielle vente active de donnees."

Analyse de Malware

Vous : "Analyse ce hash de fichier pour des indicateurs de malware : abc123def456..."

Agent : -> malware_search {hash: "abc123def456..."}
        -> malware_overview {sha256: "abc123def456..."}
        -> bazaarHash {hash: "abc123def456..."}
        -> threatfoxSearch {searchTerm: "abc123def456..."}
        -> otx_hash {hash: "abc123def456..."}
        -> "Analyse de malware pour abc123def456 :
           Hybrid Analysis : MALVEILLANT (score de menace 95/100)
           - Famille : AgentTesla (voleur d'informations)
           - MITRE ATT&CK : T1555 (Acces aux Identifiants), T1071 (C2)
           - IOCs reseau : 3 domaines C2, 2 IPs
           MalwareBazaar : Vu pour la premiere fois le 2024-03-15, tague 'AgentTesla'
           ThreatFox : 2 entrees IOC liees a la meme campagne
           OTX : Reference dans 4 pulses de menaces"

Reference des Outils (66 outils)

Utilisation en CLI

# Lister tous les outils disponibles
npx darknet-mcp-server --list

# Verifier la connectivite du proxy Tor SOCKS5
npx darknet-mcp-server --check-tor

# Executer n'importe quel outil directement
npx darknet-mcp-server --tool breachList '{"domain":"adobe.com"}'
npx darknet-mcp-server --tool ransomwareRecent '{}'
npx darknet-mcp-server --tool tor_search_onion '{"query":"marketplace"}'
npx darknet-mcp-server --tool btc_address '{"address":"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa"}'

# Outils necessitant des cles API
HIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{"account":"[email protected]"}'
HYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{"hash":"abc123..."}'

Sources de Donnees (16)

Architecture

src/
  index.ts                # Point d'entree CLI (--help, --list, --check-tor, serveur stdio)
  protocol/
    mcp-server.ts         # Configuration du serveur MCP (transport stdio)
    tools.ts              # Registre des outils — les 66 outils assembles ici
  types/
    index.ts              # Types partages (ToolDef, ToolContext, ToolResult)
  utils/
    rate-limiter.ts       # Limiteur de debit par fournisseur
    cache.ts              # Cache TTL pour les reponses API
    tor-fetch.ts          # Client HTTP proxy Tor SOCKS5
    require-key.ts        # Aide a la validation de cle API
  tor/                    # Outils du Reseau Tor (7)
  ransomware/             # Outils de Renseignement Ransomware (9)
  breach/                 # Outils de Fuites HIBP (7)
  abusech/                # Outils ThreatFox + URLhaus + MalwareBazaar (9)
  otx/                    # Outils AlienVault OTX (5)
  abuseipdb/              # Outils AbuseIPDB (4)
  greynoise/              # Outils GreyNoise Community (2)
  pulsedive/              # Outils Pulsedive (3)
  hudsonrock/             # Outils de logs de stealers Hudson Rock (3)
  vulners/                # Outils d'exploits Vulners (3)
  blockchain/             # Outils de Renseignement Blockchain (4)
  hybrid/                 # Outils de malware Hybrid Analysis (3)
  onionlookup/            # Outil de consultation onion CIRCL (1)
  intelx/                 # Outils IntelligenceX (4)
  phishing/               # Outil PhishTank (1)
  meta/                   # Outils Meta (1)

Decisions de conception :

• 16 fournisseurs, 1 serveur — Chaque source de donnees est un module independant. L'agent choisit quels outils utiliser en fonction de la requete.
• Limiteurs de debit par fournisseur — Chaque source de donnees a sa propre instance RateLimiter calibree aux limites de cette API. Pas de goulot d'etranglement partage.
• Cache TTL — Les donnees ransomware (15min), les listes de fuites (10min), les resultats abuse.ch (5min) sont mis en cache pour eviter les appels API redondants lors de flux de travail multi-outils.
• Degradation gracieuse — Les cles API manquantes ne font pas planter le serveur. Les outils retournent des messages d'erreur descriptifs : "Definissez HIBP_API_KEY pour activer la recherche de comptes fuites."
• Prevention des fuites DNS — Les outils Tor .onion utilisent le protocole socks5h:// pour resoudre le DNS via Tor, empechant les fuites DNS vers le resolveur local.
• 4 dependances — @modelcontextprotocol/sdk, zod, socks-proxy-agent et cheerio. Tout HTTP clearnet via fetch natif. Tout trafic Tor via SOCKS5.

Limitations

• La recherche de comptes/pastes HIBP necessite une cle API payante (3,50$/mois)
• IntelligenceX, AbuseIPDB, Hudson Rock et Hybrid Analysis necessitent des cles API pour leurs outils
• Les outils Tor .onion necessitent un proxy Tor SOCKS5 en fonctionnement (non inclus)
• Le niveau gratuit abuse.ch a des limites de debit plus basses sans ABUSECH_AUTH_KEY
• Les donnees de Ransomware.live et RansomLook dependent de la frequence de scraping en amont
• Les outils blockchain ne supportent que Bitcoin (pas d'Ethereum/Monero)
• La base de donnees PhishTank peut accuser un retard par rapport aux campagnes de phishing en temps reel
• Teste sur macOS / Linux (Windows non teste)

Partie de la Suite de Securite MCP

Uniquement pour les tests et evaluations de securite autorises.
Assurez-vous toujours d'avoir l'autorisation appropriee avant de collecter des renseignements sur une cible.

Licence MIT • Construit avec Bun + TypeScript