badchars/darknet-mcp-server

English | 简体中文 | 繁體中文 | 한국어 | Deutsch | Español | Français | Italiano | Dansk | 日本語 | Polski | Русский | Bosanski | العربية | Norsk | Português (Brasil) | ไทย | Türkçe | Українська | বাংলা | Ελληνικά | Tiếng Việt | हिन्दी

AIエージェント向けダークウェブ＆脅威インテリジェンス。

HIBP、ThreatFox、ランサムウェア追跡、Tor .onionアクセス、ブロックチェーンインテリジェンス、エクスプロイト検索、スティーラーログ、マルウェア分析 — 単一のMCPサーバーに統合。
あなたのAIエージェントは、16個のブラウザタブと手動の相関分析ではなく、オンデマンドのフルスペクトラム・ダークウェブインテリジェンスを取得できます。

問題点 • 何が違うのか • クイックスタート • AIにできること • ツール（66） • データソース • アーキテクチャ • 変更履歴 • 貢献

問題点

ダークウェブインテリジェンスは、あらゆるセキュリティ調査で欠落しているレイヤーです。侵害データベース、ランサムウェアトラッカー、Tor隠しサービス、マルウェアサンドボックス、スティーラーログ、ブロックチェーンフォレンジック、エクスプロイトデータベース — 必要なデータは数十のプラットフォームに散在しており、それぞれ独自のAPI、独自の認証、独自のレート制限、独自の出力形式を持っています。今日では、1つのタブでHIBPを確認し、別のタブでThreatFoxを確認し、Tor経由でランサムウェアリークサイトを閲覧し、MalwareBazaarでハッシュを検索し、ブロックエクスプローラーでブロックチェーントランザクションを確認し、その後1時間かけてすべてを手動でつなぎ合わせています。

従来のダークウェブインテリジェンスワークフロー:
  侵害露出を確認                     ->  HIBP ウェブインターフェース（有料API）
  漏洩した認証情報を検索              ->  IntelligenceX ウェブインターフェース
  ランサムウェアグループを追跡         ->  ransomware.live + ransomlook.io（2つの別々のUI）
  .onion隠しサービスにアクセス         ->  Tor Browser を手動で
  マルウェアサンプルを分析             ->  Hybrid Analysis + MalwareBazaar（さらに2つのUI）
  IP悪用履歴を確認                    ->  AbuseIPDB + GreyNoise（さらに2つのUI）
  暗号通貨を追跡                      ->  blockchain.info + ChainAbuse
  エクスプロイトを検索                 ->  Vulners ウェブインターフェース
  フィッシングURLを確認               ->  PhishTank ウェブインターフェース
  すべてを相関分析                    ->  レポートにコピー＆ペースト
  ────────────────────────────────
  合計: 調査あたり60分以上、そのほとんどがコンテキスト切り替え

darknet-mcp-server は、Model Context Protocolを通じて、16のデータソースにまたがる66のツールをAIエージェントに提供します。エージェントはすべてのソースを並行して照会し、サーフェスウェブとダークウェブにわたるデータを相関分析し、脅威を特定し、統合されたインテリジェンス全体像を提示します — 単一の会話で。

darknet-mcp-serverの場合:
  あなた: "target.comの侵害露出と脅威ランドスケープを調査してください"

  エージェント: -> HIBP: 3件の既知の侵害 (Adobe 2013, LinkedIn 2021, Collection #1)
               -> ThreatFox: ドメインに関連する2件のIOC (C2コールバック、フィッシング)
               -> URLhaus: サブドメインでホストされている1件の悪意のあるURL
               -> ランサムウェア: 被害者リストは見つかりませんでした（良好）
               -> スティーラーログ: 47件の漏洩した従業員認証情報が見つかりました
               -> OTX: ドメインを参照する5件の脅威パルス
               -> AbuseIPDB: プライマリIPに12件の悪用レポート（ブルートフォース）
               -> "target.comは210万件のレコードが露出した3件のデータ侵害を受けて
                  います。スティーラーログで47件の従業員認証情報が見つかりました —
                  即座のパスワードリセットを推奨します。2件のアクティブな
                  ThreatFox IOCは継続的な標的化を示唆しています。ランサムウェア
                  リストはありませんが、プライマリIPの悪用レポートは調査が必要です。"

何が違うのか

既存のツールは一度に1つのソースから生データを提供します。darknet-mcp-serverはAIエージェントにサーフェスウェブとダークウェブのインテリジェンスを同時に推論する能力を与えます。

クイックスタート

オプション1: npx（インストール不要）

npx darknet-mcp-server

無料ツールがすぐに動作します。ランサムウェア追跡、侵害リスト、GreyNoise、ブロックチェーン、OTXなどにAPIキーは不要です。

オプション2: クローン

git clone https://github.com/badchars/darknet-mcp-server.git
cd darknet-mcp-server
bun install

環境変数（オプション）

# 侵害＆認証情報インテリジェンス
export HIBP_API_KEY=your-key           # 侵害アカウント検索とペースト検索を有効化
export INTELX_API_KEY=your-key         # 4つのIntelligenceXツールを有効化

# 脅威インテリジェンス
export OTX_API_KEY=your-key            # AlienVault OTXのレート制限を引き上げ
export ABUSEIPDB_API_KEY=your-key      # 4つのAbuseIPDBツールを有効化
export ABUSECH_AUTH_KEY=your-key       # abuse.chスイートのレート制限を引き上げ
export PULSEDIVE_API_KEY=your-key      # Pulsediveのレート制限を引き上げ

# スティーラーログ＆認証情報
export HUDSONROCK_API_KEY=your-key     # 3つのHudson Rockスティーラーログツールを有効化

# エクスプロイト＆マルウェア分析
export VULNERS_API_KEY=your-key        # Vulners検索＆エクスプロイトツールを有効化
export HYBRID_API_KEY=your-key         # 3つのHybrid Analysisマルウェアツールを有効化

# フィッシング
export PHISHTANK_API_KEY=your-key      # PhishTankのレート制限を引き上げ

# Tor SOCKS5プロキシ（.onionアクセス用）
export TOR_SOCKS_HOST=127.0.0.1       # デフォルト: 127.0.0.1
export TOR_SOCKS_PORT=9050            # デフォルト: 9050

すべてのAPIキーはオプションです。キーがなくても、ランサムウェア追跡、侵害リスト、GreyNoise、ブロックチェーンインテリジェンス、OTX、Tor出口ノードチェック、オニオン検索、CIRCLオニオンルックアップなどが利用できます。

AIエージェントに接続

# npxの場合
claude mcp add darknet-mcp-server -- npx darknet-mcp-server

# ローカルクローンの場合
claude mcp add darknet-mcp-server -- bun run /path/to/darknet-mcp-server/src/index.ts

{
  "mcpServers": {
    "darknet": {
      "command": "npx",
      "args": ["-y", "darknet-mcp-server"],
      "env": {
        "HIBP_API_KEY": "optional",
        "INTELX_API_KEY": "optional",
        "ABUSEIPDB_API_KEY": "optional",
        "HUDSONROCK_API_KEY": "optional",
        "HYBRID_API_KEY": "optional",
        "VULNERS_API_KEY": "optional"
      }
    }
  }
}

Torセットアップ（オプション、.onionアクセス用）

7つのTorツール（tor_fetch_onion、tor_scrape_onion など）には、実行中のTor SOCKS5プロキシが必要です。

# macOS
brew install tor && brew services start tor

# Linux
sudo apt install tor && sudo systemctl start tor

# Docker
docker run -d -p 9050:9050 dperson/torproxy

# 接続性を確認
npx darknet-mcp-server --check-tor

照会を開始

あなた: "example.comがデータ侵害に遭っていないか確認し、スティーラーログを検索してください"

以上です。エージェントが侵害検索、認証情報検索、脅威の相関分析などを自動的に処理します。

AIにできること

侵害調査

あなた: "example.comがデータ侵害に遭っていないか確認してください"

エージェント: -> breachList {domain: "example.com"}
             -> breachSearch {account: "[email protected]"}
             -> stealer_domain {domain: "example.com"}
             -> intelx_search {term: "example.com"}
             -> "example.comは5件の既知の侵害に含まれています:
                - ExampleDB 2023: 420万件のレコード（メール、パスワード、IP）
                - Collection #1: クレデンシャルスタッフィングリスト
                - Combolist 2024: 89万件のメール:パスワードペア
                スティーラーログ: example.comの保存された認証情報を持つ
                23台の侵害されたマシンがHudson Rockデータベースで見つかりました。
                IntelligenceX: ペーストサイトとダークウェブで47件の結果。"

ランサムウェア追跡

あなた: "どのランサムウェアグループがヘルスケアを標的にしていますか？"

エージェント: -> ransomwareBySector {sector: "healthcare"}
             -> ransomwareRecent {}
             -> ransomlookRecent {}
             -> "ヘルスケアセクターのランサムウェア活動:
                過去12ヶ月間で12グループにわたる142件の被害者。
                トップグループ: LockBit3（38件の被害者）、BlackCat/ALPHV（24件）、
                Cl0p（19件）、Royal（15件）。
                最新: MedCorp Inc.がLockBit3にリストされました（2日前）。
                先週、ransomware.liveとRansomLookフィードで
                3件の新しいヘルスケア被害者。"

ダークウェブ偵察

あなた: ".onionサイトで当社への言及を検索してください"

エージェント: -> tor_search_onion {query: "AcmeCorp"}
             -> intelx_search {term: "acmecorp.com"}
             -> onion_lookup {address: "relevant-onion-address.onion"}
             -> "AcmeCorpのダークウェブ検索結果:
                Ahmia.fi: 3つの.onionページがAcmeCorpに言及
                - AcmeCorp従業員リストを議論するフォーラム投稿（リークフォーラム）
                - AcmeCorpデータベースのマーケットプレイスリスティング（未確認）
                - AcmeCorp侵害を参照するブログ投稿
                IntelligenceX: ペーストサイトで12件の結果
                推奨: 潜在的なアクティブなデータ販売について
                フォーラム投稿とマーケットプレイスリスティングを調査してください。"

マルウェア分析

あなた: "このファイルハッシュのマルウェアインジケーターを分析してください: abc123def456..."

エージェント: -> malware_search {hash: "abc123def456..."}
             -> malware_overview {sha256: "abc123def456..."}
             -> bazaarHash {hash: "abc123def456..."}
             -> threatfoxSearch {searchTerm: "abc123def456..."}
             -> otx_hash {hash: "abc123def456..."}
             -> "abc123def456のマルウェア分析:
                Hybrid Analysis: 悪意あり（脅威スコア95/100）
                - ファミリー: AgentTesla（情報窃取型）
                - MITRE ATT&CK: T1555（認証情報アクセス）、T1071（C2）
                - ネットワークIOC: 3つのC2ドメイン、2つのIP
                MalwareBazaar: 2024-03-15に初めて確認、'AgentTesla'タグ付き
                ThreatFox: 同じキャンペーンにリンクされた2件のIOCエントリ
                OTX: 4件の脅威パルスで参照"

ツールリファレンス（66ツール）

CLI使用方法

# すべての利用可能なツールをリスト
npx darknet-mcp-server --list

# Tor SOCKS5プロキシ接続を確認
npx darknet-mcp-server --check-tor

# 任意のツールを直接実行
npx darknet-mcp-server --tool breachList '{"domain":"adobe.com"}'
npx darknet-mcp-server --tool ransomwareRecent '{}'
npx darknet-mcp-server --tool tor_search_onion '{"query":"marketplace"}'
npx darknet-mcp-server --tool btc_address '{"address":"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa"}'

# APIキーが必要なツール
HIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{"account":"[email protected]"}'
HYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{"hash":"abc123..."}'

データソース（16）

アーキテクチャ

src/
  index.ts                # CLIエントリーポイント (--help, --list, --check-tor, stdioサーバー)
  protocol/
    mcp-server.ts         # MCPサーバーセットアップ (stdioトランスポート)
    tools.ts              # ツールレジストリ — 全66ツールをここで組み立て
  types/
    index.ts              # 共有型 (ToolDef, ToolContext, ToolResult)
  utils/
    rate-limiter.ts       # プロバイダーごとのレートリミッター
    cache.ts              # APIレスポンスのTTLキャッシュ
    tor-fetch.ts          # Tor SOCKS5プロキシHTTPクライアント
    require-key.ts        # APIキーバリデーションヘルパー
  tor/                    # Torネットワークツール (7)
  ransomware/             # ランサムウェアインテリジェンスツール (9)
  breach/                 # HIBP侵害ツール (7)
  abusech/                # ThreatFox + URLhaus + MalwareBazaarツール (9)
  otx/                    # AlienVault OTXツール (5)
  abuseipdb/              # AbuseIPDBツール (4)
  greynoise/              # GreyNoise Communityツール (2)
  pulsedive/              # Pulsediveツール (3)
  hudsonrock/             # Hudson Rockスティーラーログツール (3)
  vulners/                # Vulnersエクスプロイトツール (3)
  blockchain/             # ブロックチェーンインテリジェンスツール (4)
  hybrid/                 # Hybrid Analysisマルウェアツール (3)
  onionlookup/            # CIRCL Onion Lookupツール (1)
  intelx/                 # IntelligenceXツール (4)
  phishing/               # PhishTankツール (1)
  meta/                   # Metaツール (1)

設計上の決定:

• 16プロバイダー、1サーバー — 各データソースは独立したモジュールです。エージェントがクエリに基づいて使用するツールを選択します。
• プロバイダーごとのレートリミッター — 各データソースは、そのAPIの制限に合わせて調整された独自の RateLimiter インスタンスを持ちます。共有ボトルネックはありません。
• TTLキャッシュ — ランサムウェアデータ（15分）、侵害リスト（10分）、abuse.ch結果（5分）がキャッシュされ、マルチツールワークフロー中の冗長なAPI呼び出しを回避します。
• グレースフルデグラデーション — APIキーが欠落してもサーバーはクラッシュしません。ツールは説明的なエラーメッセージを返します: "侵害アカウント検索を有効にするにはHIBP_API_KEYを設定してください。"
• DNSリーク防止 — Tor .onionツールは socks5h:// プロトコルを使用してTor経由でDNSを解決し、ローカルリゾルバーへのDNSリークを防止します。
• 4つの依存関係 — @modelcontextprotocol/sdk、zod、socks-proxy-agent、cheerio。すべてのクリアネットHTTPはネイティブ fetch 経由。すべてのTorトラフィックはSOCKS5経由。

制限事項

• HIBPアカウント/ペースト検索には有料APIキーが必要（$3.50/月）
• IntelligenceX、AbuseIPDB、Hudson Rock、Hybrid AnalysisはそれぞれのツールにAPIキーが必要
• Tor .onionツールには実行中のTor SOCKS5プロキシが必要（バンドルされていません）
• abuse.chの無料ティアは ABUSECH_AUTH_KEY なしではレート制限が低い
• Ransomware.liveとRansomLookのデータはアップストリームのスクレイピング頻度に依存
• ブロックチェーンツールはBitcoinのみサポート（Ethereum/Moneroなし）
• PhishTankデータベースはリアルタイムのフィッシングキャンペーンに遅れる場合があります
• macOS / Linuxでテスト済み（Windowsは未テスト）

MCPセキュリティスイートの一部

許可されたセキュリティテストおよび評価のみを目的としています。
任意のターゲットに対してインテリジェンス収集を行う前に、必ず適切な許可を得てください。

MITライセンス • Bun + TypeScriptで構築