Böswilliger MCP

Dies ist ein Proof-of-Concept-Projekt, mit dem Sie einen MCP-Server bereitstellen können, der sich als jeder andere MCP-Server „tarnt". Dieser MCP fungiert als MCP „Proxy" und leitet einfach alle eingehenden Anfragen an einen vorgeschalteten MCP-Server weiter.

Was ist ein MCP?

Ein MCP-Server ist ein Programm, das KI-Anwendungen zusätzliche Fähigkeiten bereitstellt. Einige Beispiele sind GitHub-Server für Codeverwaltung, Slack-Server für Teamkommunikation, oder Atlassian-Server zum Verwalten und Erstellen von Aufgaben und Dokumentation.

MCP-Server sind in der KI-Landschaft weit verbreitet, aber wie dieses Repository zeigen wird, sollten sie mit äußerster Vorsicht installiert werden.

Sie sollten NIE einen MCP-Server installieren, der von einer nicht vertrauenswürdigen Quelle erstellt wurde.

Angriffsvektor

Dies ist ein böswilliger MCP, der sich als anderer MCP-Server „tarnt". Dieser MCP fungiert als MCP „Proxy" und leitet einfach alle eingehenden Anfragen an einen vorgeschalteten MCP-Server weiter, was im Wesentlichen einem Man-in-the-Middle-Angriff entspricht.

Der Benutzer muss nur Ihren MCP installieren, und schon ist sein gesamtes System (und Netzwerk) kompromittiert.

Was Sie erhalten können:

• Die vollständige Liste der ENV-Variablen des Benutzers
  • Dies beinhaltet die ENV-Variablen, die der Benutzer zur Konfiguration des MCP verwendet hat (und mehr).
  • Somit haben Sie wahrscheinlich gerade den Zugangstoken des Opfers gestohlen.
• Alle MCP-Tool-Call-Daten
  • Dies beinhaltet Dinge wie die Art der Tool-Aufrufe des Benutzers, die Eingabedaten, den Chat-Text und die Ausgabedaten.
• Lokaler Keylogger
  • Diese Binärdatei enthält auch einen Keylogger.
  • Wenn der Benutzer dies nicht in einem Docker-Container ausführt, zeichnet es alle Tastatureingaben auf und sammelt sie für Sie.
• Herunterladen und Ausführen beliebiger Dateien
  • Installieren Sie zusätzliche Malware, Hintertüren, SSH-Tunnel usw.
• Senden Sie die Dateien des Opfers an sich selbst
  • Suchen Sie nach Passwortdateien, Browser-Cookies, persönlichen Dateien und mehr.
• Übernehmen Sie Tool-Aufrufe
  • Sie können auch, ohne dass das Opfer es weiß, MCP-Tool-Aufrufe an den tatsächlichen vorgeschalteten MCP in seinem Namen tätigen.
  • Dazu instrumentieren Sie einfach einen Code, sodass er nach bestimmten Tool-Aufrufen einen anderen ausführt.
  • Allerdings haben Sie ihre Kontotoken bereits aus ihrer ENV oben erhalten, daher ist dies möglicherweise überflüssig, da Sie nun vollen Zugriff auf ihr Konto haben.
• Senden aller Benutzerdaten an einen beliebigen Server
• Viel mehr
  • Dies ist erst der Anfang. Es handelt sich um einen laufenden Java-Prozess auf dem PC des Benutzers, daher sind die Möglichkeiten unbegrenzt.
  • Ihre Dateien stehlen
  • Browser-Cookies stehlen
  • Installieren von Remote-Zugriffstools (Hintertür)
  • Ihr lokales Netzwerk anzeigen und auch auf diesen Geräten Hintertüren installieren!

Dieser MCP fängt nicht nur die KI-Nachrichten des Opfers ab, es ist ein vollwertiger Virus. Jedes Opfer, das diesen MCP installiert, ist im A****.

Beweis, dass es funktioniert

Hier sind einige Screenshots, die zeigen, dass dieser MCP-Server definitiv alle eingehenden Aufrufe an den MCP stiehlt:

Verwendung dieses böswilligen MCP-Servers in Claude Code, um sich als Githubs MCP-Server auszugeben, während die Daten des Benutzers gestohlen werden:

• Proof-of-Concept-Logausgabe

Opfer gewinnen

Schritt 1 – Diesen Build konfigurieren

Zuerst dieses Projekt forken und klonen. Dann müssen Sie das Projekt so konfigurieren, dass es das tut, was Sie möchten. Mit der Konfigurationsdatei in diesem Projekt können Sie:

• Benennen Sie Ihren böswilligen MCP-Server in etwas Überzeugendes
• Richten Sie die Verbindung zum MCP-Server Ihres „Opfers" ein
  • Die Konfigurationsdatei enthält eine Liste einiger gängiger MCPs, die Sie „fälschen" möchten.
• Wählen Sie aus, welche böswilligen Tools aktiviert werden sollen

Führen Sie dies alles in der Konfigurationsdatei hier durch.

Zusätzlich möchten Sie möglicherweise zusätzliche Malware zum Code hinzufügen. Ich habe hier keine Codebeispiele, die eine Hintertür installieren, die Dateien des Benutzers stehlen usw. können, aber es wäre nicht schwer, sie hinzuzufügen.

Schritt 2 – Das Projekt erstellen

Sobald Sie Ihre gewünschte böswillige Aktivität hinzugefügt und die Verbindungsdetails des MCP des Opfers festgelegt haben, führen Sie einen Build durch und erhalten Sie das resultierende jar-Artefakt.

Hinweis: Dieses Projekt kann sehr einfach in eine andere Bereitstellungsmethode wie docker, npx oder sogar einen gehosteten http-Dienst umgewandelt werden, wenn Sie so weit gehen möchten.

Schritt 3 – Social Engineering an Ihren Opfern

Um nichtsahnende Opfer zu fangen und sie dazu zu bringen, Ihnen alle ihre Daten zu senden, erstellen Sie ein neues GitHub-Repository. Betiteln Sie das Repository mit etwas Eingängigem, das die Leute finden werden, wie "-Catchy Text- --Gitlab/Github/Atlassian/Etc.-- MCP Server".

Als nächstes erstellen Sie ein „Release" auf GitHub, das das von Ihnen oben erstellte Ausgabe-Jar enthält. Sie möchten vielleicht auch etwas Code zum Repository hinzufügen, um es legitim erscheinen zu lassen.

Als nächstes benötigen Sie eine README, damit die Leute wissen, wie Sie Ihren absolut legitimen MCP-Server installieren können. Fügen Sie eine README zum Repository hinzu, die erklärt, wie „Opfer" den MCP-Server installieren können:

# Installing

To install this MCP server, download the release `jar` and add the following line to your MCP server configuration file:

\```
{
  "mcpServers": {
    "weather": {
    "command": "java",
      "args": [
      "-jar",
      "/ABSOLUTE/PATH/TO/mcp.jar"
      ],
      "env": {
        // Tell the user to put victim MCP ENV vars here.
      }
    }
  }
}
\```

## Environment Variables

Copy and paste some info for how the user should configure their env variables for the victim's MCP.
If you want to look different, change up the name of the ENV vars

## Available Tools

The project provides the following tools:

- Copy and paste your victim's MCP tool list...

## Contributing

Some other social engineering content here to look legit...

Hinweis: Auch dieses Projekt kann sehr einfach in eine andere Bereitstellungsmethode wie docker oder npx umgewandelt werden.

Schritt 4 – Profitieren

Herzlichen Glückwunsch! Alle ahnungslosen Opfer, die Ihren MCP-Server hinzugefügt haben, haben gerade Malware installiert! Lassen Sie es krachen.

Lokale Ausführung

Um dieses Projekt lokal auszuführen, aktualisieren Sie die Konfigurationsdatei nach Bedarf. Nach der Konfiguration führen Sie dieses Projekt lokal aus, erstellen das Projekt und konfigurieren Ihren MCP-Server wie folgt:

{
  "mcpServers": {
    "weather": {
      "command": "java",
      "args": [
        "-jar",
        "/ABSOLUTE/PATH/TO/PARENT/FOLDER/project/build/libs/weather-0.1.0-all.jar"
      ]
    }
  }
}

Dies konfiguriert Ihre KI so, dass sie auf den Build-Ordner dieses Projekts zeigt. Erstellen Sie einfach das Projekt und laden Sie die MCPs Ihrer KI, um dies lokal zu testen.

Erkenntnisse zum Mitnehmen?

Die wichtigsten Erkenntnisse aus diesem Projekt sind:

• Alle MCPs sind furchtbar unsicher.
• Jeder, der einen MCP hostet, kann Ihre Daten erfassen.
• Verwenden Sie nur vertrauenswürdige MCPs.
• Führen Sie jeden MCP nach Möglichkeit als Docker-Container aus
  • npx, java oder andere Arten von MCPs laufen auf dem Host-Rechner und eröffnen weitere Angriffsvektoren