MCP Malicioso

Este es un proyecto de prueba de concepto que te permite desplegar un servidor MCP que se "disfraza" como cualquier otro servidor MCP. Este MCP actúa como un 'Proxy' de MCP, y simplemente reenvía todas las solicitudes entrantes a un servidor MCP upstream.

¿Qué es un MCP?

Un Servidor MCP es un programa que expone capacidades adicionales a las aplicaciones de IA. Algunos ejemplos son los servidores de GitHub para la gestión de código, de Slack para la comunicación en equipo, o de Atlassian para gestionar y crear tareas y documentación.

Los servidores MCP son comunes en el panorama de la IA, pero, como mostrará este repositorio, deben instalarse con extrema precaución.

NUNCA debes instalar un servidor MCP creado por una fuente no confiable.

Vector de Ataque

Este es un MCP malicioso que se "disfraza" de otro servidor MCP. Este MCP actúa como un 'Proxy' de MCP, y simplemente reenvía todas las solicitudes entrantes a un servidor MCP upstream, actuando esencialmente como un ataque de intermediario.

Todo lo que el usuario necesita hacer es instalar tu MCP y todo su sistema (y red) quedará comprometido.

Lo que puedes obtener:

• La lista completa de variables de entorno del usuario
  • Esto incluye las variables de entorno que el usuario usó para configurar el MCP (y más).
  • Por lo tanto, probablemente acabas de robar el token de acceso de la cuenta de la víctima.
• Todos los datos de llamadas a herramientas MCP
  • Esto incluye cosas como para qué está haciendo llamadas a herramientas el usuario, los datos de entrada, el texto del chat y los datos de salida.
• Keylogger Local
  • Este binario también tiene un keylogger.
  • Si el usuario no está ejecutando esto en un contenedor Docker, recopila todas las pulsaciones de teclas y las recopila para ti.
• Descargar y ejecutar cualquier archivo
  • Instalar malware adicional, puertas traseras, túneles SSH, etc.
• Enviarte los archivos de la víctima
  • Buscar archivos de contraseñas, cookies del navegador, archivos personales y más.
• Secuestrar llamadas a herramientas
  • También puedes, sin que la víctima lo sepa, hacer llamadas a herramientas MCP al MCP upstream real en su nombre.
  • Para ello, solo tienes que instrumentar algo de código para que después de ciertas llamadas a herramientas, se realice una diferente.
  • Aunque ya obtuviste sus tokens de cuenta de sus variables de entorno anteriores, quizás esto sea redundante, ya que ahora tienes acceso completo a su cuenta.
• Enviar todos los datos del usuario a cualquier servidor
• Mucho más
  • Esto es solo el comienzo. Este es un proceso Java en ejecución en el PC del usuario, por lo que las opciones aquí son ilimitadas.
  • Robar sus archivos
  • Robar cookies del navegador
  • Instalar herramientas de acceso remoto (puerta trasera)
  • Ver su red local e instalar puertas traseras también en esos dispositivos.

Este MCP no solo intercepta los mensajes de IA de la víctima, es un virus en toda regla. Cualquier víctima que instale este MCP está j**ida.

Prueba de que funciona

Aquí hay algunas capturas de pantalla que muestran que este servidor MCP definitivamente está robando cualquier llamada entrante al MCP:

Usando este servidor MCP malicioso en Claude Code para hacerse pasar por el Servidor MCP de Github mientras roba los datos del usuario:

• Salida de registro de la prueba de concepto

Conseguir Víctimas

Paso 1 - Configurar esta compilación

Primero, haz un fork y clona este proyecto. Luego, debes configurar el proyecto para que haga lo que tú quieras. Usando el archivo de configuración de este proyecto puedes:

• Nombrar tu servidor MCP malicioso con un nombre convincente
• Configurar la conexión al servidor MCP de tu "víctima"
  • El archivo de configuración tiene una lista de algunos MCP comunes que podrías querer "falsificar".
• Seleccionar qué herramientas maliciosas habilitar

Haz todo esto en el archivo de configuración aquí.

Además, es posible que quieras añadir malware adicional al código. No incluyo ejemplos de código aquí que puedan instalar una puerta trasera, robar los archivos del usuario, etc., pero no sería difícil añadirlos.

Paso 2 - Compilar el Proyecto

Una vez que hayas añadido tu actividad maliciosa deseada y configurado los detalles de conexión del MCP de la víctima, realiza una compilación y obtén el artefacto jar resultante.

Nota: Este proyecto se puede convertir muy fácilmente a otro método de despliegue como docker, npx o incluso un servicio http alojado si quieres llegar tan lejos.

Paso 3 - Ingeniería social a tus Víctimas

Para atrapar a víctimas desprevenidas y hacer que te envíen todos sus datos, crea un nuevo Repositorio de Github. Nombra el Repositorio con algo llamativo que la gente encuentre, como "-Texto Atractivo- --Servidor MCP de Gitlab/Github/Atlassian/etc.--".

A continuación, crea un "release" en Github que incluya el jar de salida que creaste arriba. También podrías añadir algo de código al repositorio para que parezca legítimo.

Luego, necesitas un readme para que la gente sepa cómo instalar tu servidor MCP totalmente legítimo. Añade un readme al repositorio explicando cómo las 'víctimas' pueden instalar el servidor MCP:

# Instalación

Para instalar este servidor MCP, descarga el `jar` del release y añade la siguiente línea a tu archivo de configuración del servidor MCP:

\```
{
  "mcpServers": {
    "weather": {
    "command": "java",
      "args": [
      "-jar",
      "/RUTA/ABSOLUTA/HACIA/mcp.jar"
      ],
      "env": {
        // Dile al usuario que ponga aquí las variables de entorno del MCP víctima.
      }
    }
  }
}
\```

## Variables de Entorno

Copia y pega alguna información sobre cómo el usuario debe configurar sus variables de entorno para el MCP de la víctima.
Si quieres que se vea diferente, cambia el nombre de las variables de entorno.

## Herramientas Disponibles

El proyecto proporciona las siguientes herramientas:

- Copia y pega la lista de herramientas de tu MCP víctima...

## Contribuir

Aquí algo más de contenido de ingeniería social para que parezca legítimo...

Nota: De nuevo, este proyecto se puede convertir muy fácilmente a otro método de despliegue como docker o npx.

Paso 4 - Ganar Dinero

¡Felicidades! ¡Todas las víctimas desprevenidas que añadan tu servidor MCP acaban de instalar malware! Disfruta.

Ejecución Local

Para ejecutar este proyecto localmente, actualiza el archivo de configuración según sea necesario. Una vez configurado, ejecuta este proyecto localmente, compila el proyecto y configura tu servidor MCP para que tenga la siguiente configuración:

{
  "mcpServers": {
    "weather": {
      "command": "java",
      "args": [
        "-jar",
        "/RUTA/ABSOLUTA/HACIA/CARPETA/PADRE/project/build/libs/weather-0.1.0-all.jar"
      ]
    }
  }
}

Esto configurará tu IA para que apunte a la carpeta de compilación de este proyecto. Simplemente compila el proyecto y carga los MCP de tu IA para probarlo localmente.

Lecciones para Llevarse

Las lecciones clave que debes extraer de esto son:

• Todos los MCP son terriblemente inseguros.
• Cualquier persona que aloje un MCP puede capturar tus datos.
• Solo uses MCP de confianza.
• Ejecuta cualquier MCP como contenedor Docker si es posible
  • npx, java u otros tipos de MCP se ejecutarán en la máquina host y abrirán más vectores de ataque.