</details>

<details>
<summary><b>Cursor / Windsurf / altri client MCP</b></summary>

Stesso formato di configurazione JSON. Punta il comando a `npx darknet-mcp-server` o al percorso della tua installazione locale.

</details>

### Configurazione Tor (opzionale, per l'accesso a .onion)

I 7 strumenti Tor (`tor_fetch_onion`, `tor_scrape_onion`, ecc.) richiedono un proxy SOCKS5 Tor in esecuzione.```bash
# macOS
brew install tor && brew services start tor

# Linux
sudo apt install tor && sudo systemctl start tor

# Docker
docker run -d -p 9050:9050 dperson/torproxy

# Verify connectivity
npx darknet-mcp-server --check-tor

Ecco fatto. L'agente gestisce automaticamente ricerche di violazioni, ricerche di credenziali, correlazione delle minacce e altro ancora.

---

## Cosa può fare l'IA

### Indagine sulle violazioni```
You: "Check if example.com has been in any data breaches"

Agent: -> breachList {domain: "example.com"}
       -> breachSearch {account: "[email protected]"}
       -> stealer_domain {domain: "example.com"}
       -> intelx_search {term: "example.com"}
       -> "example.com appears in 5 known breaches:
          - ExampleDB 2023: 4.2M records (emails, passwords, IPs)
          - Collection #1: credential stuffing list
          - Combolist 2024: 890K email:password pairs
          Stealer logs: 23 compromised machines with saved credentials
          for example.com found in Hudson Rock database.
          IntelligenceX: 47 results across paste sites and dark web."

### Dark Web Recon```
You: "Search for mentions of our company on .onion sites"

Agent: -> tor_search_onion {query: "AcmeCorp"}
       -> intelx_search {term: "acmecorp.com"}
       -> onion_lookup {address: "relevant-onion-address.onion"}
       -> "Dark web search results for AcmeCorp:
          Ahmia.fi: 3 .onion pages mention AcmeCorp
          - Forum post discussing AcmeCorp employee list (leak forum)
          - Marketplace listing for AcmeCorp database (unverified)
          - Blog post referencing AcmeCorp breach
          IntelligenceX: 12 results on paste sites
          Recommendation: investigate the forum post and marketplace
          listing for potential active data sales."

---

## Riferimento Strumenti (66 strumenti)

<details open>
<summary><b>Tor Network (7) &mdash; Nessuna chiave API (daemon Tor richiesto per gli strumenti .onion)</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `tor_status` | Verifica se il proxy SOCKS5 del daemon Tor locale è in esecuzione e accessibile |
| `tor_fetch_onion` | Recupera l'HTML grezzo da un URL .onion tramite proxy SOCKS5 Tor (prevenzione delle perdite DNS tramite socks5h) |
| `tor_scrape_onion` | Recupera e analizza un sito .onion &mdash; restituisce dati strutturati: titolo, link, testo del corpo |
| `tor_search_onion` | Cerca siti .onion utilizzando il motore di ricerca Ahmia.fi |
| `tor_exit_nodes` | Ottieni gli indirizzi IP attuali dei nodi di uscita Tor dalla lista ufficiale bulk exit del Tor Project |
| `tor_exit_check` | Verifica se un indirizzo IP specifico è un nodo di uscita Tor noto |
| `tor_exit_details` | Ottieni informazioni dettagliate sui nodi di uscita Tor, incluse impronte digitali e timestamp di pubblicazione |

</details>

<details>
<summary><b>Ransomware Intelligence (9) &mdash; Nessuna chiave API</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `ransomwareRecent` | Recupera le vittime ransomware più recenti da ransomware.live |
| `ransomwareGroups` | Elenca tutti i gruppi ransomware noti tracciati da ransomware.live |
| `ransomwareGroup` | Ottieni un profilo dettagliato per un gruppo ransomware specifico per nome |
| `ransomwareGroupVictims` | Ottieni tutte le vittime rivendicate da un gruppo ransomware specifico |
| `ransomwareSearch` | Cerca vittime ransomware per parola chiave (nome azienda, dominio, ecc.) |
| `ransomwareByCountry` | Ottieni vittime ransomware filtrate per codice paese ISO 3166-1 alpha-2 |
| `ransomwareBySector` | Ottieni vittime ransomware filtrate per settore/industria (sanità, finanza, ecc.) |
| `ransomlookGroups` | Elenca tutti i 582+ gruppi ransomware tracciati da RansomLook |
| `ransomlookRecent` | Recupera i post ransomware e le rivendicazioni di vittime più recenti da RansomLook |

</details>

<details>
<summary><b>Breach Intelligence &mdash; HIBP (7) &mdash; Parziale: alcuni strumenti gratuiti, la ricerca account richiede HIBP_API_KEY</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `breachList` | Elenca tutte le violazioni di dati note da HaveIBeenPwned, con filtro opzionale per dominio &mdash; gratuito |
| `breachGet` | Ottieni i dettagli di una violazione di dati specifica per nome &mdash; gratuito |
| `breachLatest` | Ottieni la violazione di dati aggiunta più di recente &mdash; gratuito |
| `breachDataClasses` | Elenca tutte le classi di dati (tipi di dati compromessi) note a HIBP &mdash; gratuito |
| `breachPassword` | Verifica se una password è apparsa in violazioni note (k-anonymity, viene inviato solo il prefisso SHA-1 di 5 caratteri) &mdash; gratuito |
| `breachSearch` | Cerca in tutte le violazioni un account specifico (email/username) &mdash; richiede `HIBP_API_KEY` |
| `breachPastes` | Cerca un indirizzo email nei paste pubblicati pubblicamente &mdash; richiede `HIBP_API_KEY` |

</details>

<details>
<summary><b>abuse.ch Suite (9) &mdash; Nessuna chiave API (ABUSECH_AUTH_KEY opzionale per rate più elevato)</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `threatfoxGetIocs` | Ottieni gli IOC recenti da ThreatFox segnalati negli ultimi N giorni |
| `threatfoxSearch` | Cerca gli IOC di ThreatFox per IP, dominio, hash o URL |
| `threatfoxTag` | Cerca gli IOC di ThreatFox per tag (es. Cobalt Strike, Emotet) |
| `threatfoxMalware` | Cerca gli IOC di ThreatFox per famiglia di malware usando la nomenclatura Malpedia |
| `urlhausLookup` | Cerca un URL o host in URLhaus per la distribuzione di malware |
| `urlhausTag` | Cerca le voci di URLhaus per tag |
| `bazaarHash` | Cerca un campione di malware in MalwareBazaar per hash MD5, SHA1 o SHA256 |
| `bazaarRecent` | Ottieni i campioni di malware inviati più di recente da MalwareBazaar |
| `bazaarTag` | Cerca in MalwareBazaar per tag o nome di firma YARA |

</details>

<details>
<summary><b>AlienVault OTX (5) &mdash; Nessuna chiave API (OTX_API_KEY opzionale per rate più elevato)</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `otx_ip` | Cerca threat intelligence per un indirizzo IP &mdash; informazioni sui pulse, reputazione, paese, ASN |
| `otx_domain` | Cerca threat intelligence per un dominio &mdash; informazioni sui pulse, whois, reputazione |
| `otx_hash` | Cerca threat intelligence per un hash di file (MD5, SHA1, SHA256) |
| `otx_cve` | Cerca threat intelligence per una CVE &mdash; pulse e indicatori correlati |
| `otx_search_pulses` | Cerca i threat pulse di OTX per parola chiave |

</details>

<details>
<summary><b>AbuseIPDB (4) &mdash; Richiede ABUSEIPDB_API_KEY</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `abuseipdb_check` | Verifica un indirizzo IP per segnalazioni di abuso &mdash; punteggio di confidenza, ISP, paese, numero di segnalazioni |
| `abuseipdb_reports` | Ottieni le singole segnalazioni di abuso per un IP con commenti dettagliati e categorie |
| `abuseipdb_blacklist` | Ottieni la blacklist di AbuseIPDB degli indirizzi IP malevoli più segnalati |
| `abuseipdb_check_block` | Verifica un intero blocco di rete CIDR per segnalazioni di abuso |

</details>

<details>
<summary><b>GreyNoise Community (2) &mdash; Nessuna chiave API</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `greynoise_ip` | Cerca un IP su GreyNoise &mdash; classificazione (benigno/malevolo/sconosciuto), stato di scanner |
| `greynoise_check` | Verifica rapida: questo IP è uno scanner noto o un servizio benigno noto? |

</details>

<details>
<summary><b>Pulsedive (3) &mdash; Nessuna chiave API (PULSEDIVE_API_KEY opzionale per rate più elevato)</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `pulsedive_indicator` | Cerca un indicatore (IP, dominio, URL o hash) &mdash; livello di rischio, minacce, feed |
| `pulsedive_search` | Cerca gli indicatori di Pulsedive per valore |
| `pulsedive_explore` | Esplora gli indicatori collegati usando query avanzate (IOC correlati con livelli di rischio) |

</details>

<details>
<summary><b>Hudson Rock Stealer Logs (3) &mdash; Richiede HUDSONROCK_API_KEY</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `stealer_domain` | Cerca le voci dei log stealer per dominio &mdash; macchine compromesse, credenziali, dettagli del malware |
| `stealer_email` | Cerca nei log stealer per indirizzo email &mdash; macchine compromesse con quell'email nelle credenziali del browser |
| `stealer_ip` | Cerca nei log stealer per indirizzo IP &mdash; macchine compromesse provenienti da quell'IP |

</details>

<details>
<summary><b>Vulners Exploits (3) &mdash; Nessuna chiave API (VULNERS_API_KEY opzionale per la ricerca)</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `vulners_search` | Cerca nel database delle vulnerabilità Vulners usando query Lucene |
| `vulners_id` | Cerca una vulnerabilità o exploit specifico per ID (CVE, EDB, GHSA) &mdash; gratuito |
| `vulners_exploit` | Cerca specificamente exploit (voci di ExploitDB) |

</details>

<details>
<summary><b>Blockchain Intelligence (4) &mdash; Nessuna chiave API</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `btc_address` | Cerca un indirizzo Bitcoin &mdash; saldo, numero di transazioni, transazioni recenti |
| `btc_balance` | Ottieni il saldo di un indirizzo Bitcoin in satoshi (verifica rapida senza cronologia completa) |
| `btc_tx` | Ottieni informazioni dettagliate su una transazione Bitcoin per hash &mdash; input, output, commissioni, info sul blocco |
| `btc_abuse_check` | Verifica un indirizzo Bitcoin per segnalazioni di abuso su ChainAbuse &mdash; segnalazioni di truffa con categorie |

</details>

<details>
<summary><b>Hybrid Analysis Malware (3) &mdash; Richiede HYBRID_API_KEY</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `malware_search` | Cerca nella sandbox Hybrid Analysis per hash di file &mdash; verdetto, tasso di rilevamento AV, dettagli dell'analisi |
| `malware_overview` | Panoramica completa dell'analisi del malware &mdash; tecniche MITRE ATT&CK, indicatori di rete, processi |
| `malware_feed` | Ottieni il feed più recente di detonazione malware &mdash; campioni analizzati di recente con verdetti |

</details>

<details>
<summary><b>CIRCL Onion Lookup (1) &mdash; Nessuna chiave API</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `onion_lookup` | Cerca i metadati di un indirizzo .onion tramite il progetto CIRCL AIL &mdash; prima/ultima visualizzazione, stato, tag, certificati, porte, indirizzi BTC |

</details>

<details>
<summary><b>IntelligenceX (4) &mdash; Richiede INTELX_API_KEY</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `intelx_search` | Avvia una ricerca su IntelligenceX per dati trapelati, contenuti del dark web e altro |
| `intelx_search_results` | Recupera i risultati di una ricerca IntelligenceX per ID |
| `intelx_phonebook` | Ricerca nella rubrica &mdash; trova email, domini, URL associati a un termine |
| `intelx_phonebook_results` | Recupera i risultati della ricerca nella rubrica per ID |

</details>

<details>
<summary><b>PhishTank (1) &mdash; Nessuna chiave API (PHISHTANK_API_KEY opzionale per rate più elevato)</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `phishing_check` | Verifica se un URL è un sito di phishing noto tramite PhishTank |

</details>

<details>
<summary><b>Meta (1) &mdash; Nessuna chiave API</b></summary>

| Strumento | Descrizione |
|------|-------------|
| `darknet_list_sources` | Elenca tutte le fonti di dati disponibili con stato di configurazione, stato della chiave API e conteggio degli strumenti |

</details>

---

### Utilizzo della CLI```bash
# List all available tools
npx darknet-mcp-server --list

# Check Tor SOCKS5 proxy connectivity
npx darknet-mcp-server --check-tor

# Run any tool directly
npx darknet-mcp-server --tool breachList '{"domain":"adobe.com"}'
npx darknet-mcp-server --tool ransomwareRecent '{}'
npx darknet-mcp-server --tool tor_search_onion '{"query":"marketplace"}'
npx darknet-mcp-server --tool btc_address '{"address":"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa"}'

# Tools requiring API keys
HIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{"account":"[email protected]"}'
HYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{"hash":"abc123..."}'

**Scelte di progettazione:**

- **16 provider, 1 server** — Ogni fonte di dati è un modulo indipendente. L'agente sceglie quali strumenti utilizzare in base alla query.
- **Rate limiter per provider** — Ogni fonte di dati ha la propria istanza di `RateLimiter` calibrata sui limiti di quell'API. Nessun collo di bottiglia condiviso.
- **Caching con TTL** — I risultati di ransomware (15min), liste di violazioni (10min), abuse.ch (5min) vengono memorizzati nella cache per evitare chiamate API ridondanti durante flussi di lavoro multi-strumento.
- **Degradazione controllata** — Le chiavi API mancanti non fanno crashare il server. Gli strumenti restituiscono messaggi di errore descrittivi: "Set HIBP_API_KEY to enable breach account search."
- **Prevenzione delle perdite DNS** — Gli strumenti Tor .onion utilizzano il protocollo `socks5h://` per risolvere il DNS attraverso Tor, prevenendo perdite DNS verso il resolver locale.
- **4 dipendenze** — `@modelcontextprotocol/sdk`, `zod`, `socks-proxy-agent` e `cheerio`. Tutto il traffico HTTP clearnet tramite `fetch` nativo. Tutto il traffico Tor tramite SOCKS5.

---

## Limitazioni

- La ricerca account/paste di HIBP richiede una chiave API a pagamento ($3.50/mese)
- IntelligenceX, AbuseIPDB, Hudson Rock e Hybrid Analysis richiedono chiavi API per i loro strumenti
- Gli strumenti Tor .onion richiedono un proxy Tor SOCKS5 in esecuzione (non incluso)
- Il tier gratuito di abuse.ch ha limiti di velocità inferiori senza `ABUSECH_AUTH_KEY`
- I dati di Ransomware.live e RansomLook dipendono dalla frequenza di scraping a monte
- Gli strumenti blockchain supportano solo Bitcoin (nessun Ethereum/Monero)
- Il database di PhishTank può essere in ritardo rispetto alle campagne di phishing in tempo reale
- Testato su macOS / Linux (Windows non testato)

---

## Parte della MCP Security Suite

| Progetto | Dominio | Strumenti |
|---|---|---|
| [hackbrowser-mcp](https://github.com/badchars/hackbrowser-mcp) | Test di sicurezza basati su browser | 39 strumenti, Firefox, test di injection |
| [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) | Sicurezza cloud (AWS/Azure/GCP) | 38 strumenti, 60+ controlli |
| [github-security-mcp](https://github.com/badchars/github-security-mcp) | Postura di sicurezza GitHub | 39 strumenti, 45 controlli |
| [cve-mcp](https://github.com/badchars/cve-mcp) | Intelligence sulle vulnerabilità | 23 strumenti, 5 fonti |
| [osint-mcp-server](https://github.com/badchars/osint-mcp-server) | OSINT e ricognizione | 37 strumenti, 12 fonti |
| **darknet-mcp-server** | **Dark web e threat intelligence** | **66 strumenti, 16 fonti** |

---

<p align="center">
<b>Solo per test e valutazioni di sicurezza autorizzati.</b><br>
Assicurati sempre di avere l'autorizzazione appropriata prima di effettuare raccolta di intelligence su qualsiasi target.
</p>

<p align="center">
  <a href="https://github.com/badchars/darknet-mcp-server/blob/main/LICENSE">MIT License</a> &bull; Built with Bun + TypeScript
</p>