MCP Maligno

Questo è un progetto proof-of-concept che ti permette di distribuire un server MCP che si "maschera" come qualsiasi altro server MCP. Questo MCP agisce come un 'Proxy' MCP, e inoltra semplicemente tutte le richieste in arrivo a un server MCP a monte.

Cos'è un MCP?

Un Server MCP è un programma che espone capacità aggiuntive alle applicazioni AI. Alcuni esempi sono i server GitHub per la gestione del codice, i server Slack per la comunicazione di team, o i server Atlassian per gestire e creare attività e documentazione.

I server MCP sono comuni nel panorama AI, ma, come mostrerà questo repository, dovrebbero essere installati con estrema cautela.

Non dovresti MAI installare un server MCP creato da una fonte non attendibile.

Vettore di Attacco

Questo è un MCP malevolo che si "maschera" come un altro server MCP. Questo MCP agisce come un 'Proxy' MCP, e inoltra semplicemente tutte le richieste in arrivo a un server MCP a monte, agendo essenzialmente come un attacco man-in-the-middle.

Tutto ciò che l'utente deve fare è installare il tuo MCP e l'intero sistema (e rete) è compromesso.

Cosa puoi ottenere:

• L'elenco completo delle variabili ENV dell'utente
  • Questo include le variabili ENV che l'utente ha usato per configurare l'MCP (e altre).
  • Quindi, molto probabilmente hai appena rubato il token di accesso all'account della vittima.
• Tutti i dati delle chiamate agli strumenti MCP
  • Questo include cose come per cosa l'utente sta effettuando chiamate agli strumenti, i dati di input, il testo della chat e i dati di output.
• Keylogger Locale
  • Questo binario ha anche un keylogger.
  • Se l'utente non sta eseguendo questo in un contenitore Docker, raccoglie tutte le pressioni dei tasti e le raccoglie per te.
• Scarica ed esegui qualsiasi file
  • Installa malware aggiuntivo, backdoor, tunnel SSH, ecc.
• Invia i file della vittima a te stesso
  • Cerca file di password, cookie del browser, file personali e altro ancora.
• Dirottamento delle chiamate agli strumenti
  • Puoi anche, all'insaputa della vittima, effettuare chiamate agli strumenti MCP al vero MCP a monte per loro conto.
  • Per fare questo, basta strumentare del codice in modo che dopo certe chiamate agli strumenti, ne esegua una diversa dopo.
  • Tuttavia, hai già ottenuto i loro token di account dalle loro ENV sopra, quindi forse è ridondante, dato che ora hai pieno accesso al loro account.
• Invia tutti i dati dell'utente a qualsiasi server
• Molto altro
  • Questo è solo l'inizio. Questo è un processo Java in esecuzione sul PC dell'utente, quindi le opzioni sono illimitate
  • Rubare i loro file
  • Rubare i cookie del browser
  • Installare strumenti di accesso remoto (backdoor)
  • Visualizzare la loro rete locale e installare backdoor anche su quei dispositivi!
  • Cancellare System32

Questo MCP non si limita a intercettare i messaggi AI della vittima, è un vero e proprio virus. Qualsiasi vittima che installa questo MCP è fottuta.

Prova che funziona

Ecco alcuni screenshot che mostrano che questo server MCP sta decisamente rubando tutte le chiamate in arrivo all'MCP:

Usando questo server MCP malevolo in Claude Code per fingersi il server MCP di Github mentre ruba i dati dell'utente:

• Output del log del Proof of Concept

Ottenere Vittime

Passo 1 - Configura questa build

Prima, fai il fork e clona questo progetto. Poi, devi configurare il progetto per fare ciò che tu vuoi. Usando il file di configurazione in questo progetto puoi:

• Dare un nome convincente al tuo server MCP malevolo
• Configurare la connessione al server MCP della tua "vittima"
  • Il file di configurazione contiene un elenco di alcuni MCP comuni che potresti voler "falsificare".
• Selezionare quali strumenti malevoli abilitare

Fai tutto questo nel file di configurazione qui.

Inoltre, potresti voler aggiungere qualche malware aggiuntivo al codice. Non ho esempi di codice qui che possano installare una backdoor, rubare i file dell'utente, ecc., ma non sarebbe difficile aggiungerli.

Passo 2 - Compila il Progetto

Una volta aggiunta l'attività malevola desiderata e impostati i dettagli di connessione dell'MCP della vittima, esegui una compilazione e ottieni l'artefatto jar risultante.

Nota: Questo progetto può essere molto facilmente convertito in un altro metodo di distribuzione come docker, npx, o anche un servizio http ospitato se vuoi spingerti oltre.

Passo 3 - Ingegneria Sociale delle tue Vittime

Per catturare vittime ignare e convincerle a inviarti tutti i loro dati, crea un nuovo Repository Github. Intitola il Repository con qualcosa di accattivante che le persone troveranno, come "-Testo Accattivante- --Server MCP Gitlab/Github/Atlassian/Ecc.--".

Successivamente, crea una "release" su Github che includa il jar di output creato sopra. Potresti anche voler aggiungere del codice al repository per farlo sembrare legittimo.

Poi, hai bisogno di un readme in modo che le persone sappiano come installare il tuo server MCP totalmente legittimo. Aggiungi un readme al repository spiegando come le 'vittime' possono installare il server MCP:

# Installing

To install this MCP server, download the release `jar` and add the following line to your MCP server configuration file:

\```
{
  "mcpServers": {
    "weather": {
    "command": "java",
      "args": [
      "-jar",
      "/ABSOLUTE/PATH/TO/mcp.jar"
      ],
      "env": {
        // Tell the user to put victim MCP ENV vars here.
      }
    }
  }
}
\```

## Environment Variables

Copy and paste some info for how the user should configure their env variables for the victim's MCP.
If you want to look different, change up the name of the ENV vars

## Available Tools

The project provides the following tools:

- Copy and paste your victim's MCP tool list...

## Contributing

Some other social engineering content here to look legit...

Nota: Ancora, questo progetto può essere molto facilmente convertito in un altro metodo di distribuzione come docker o npx.

Passo 4 - Profitto

Congratulazioni! Tutte le vittime ignare che hanno aggiunto il tuo server MCP hanno appena installato malware! Dai libero sfogo.

Esecuzione Locale

Per eseguire questo progetto localmente, aggiorna il file di configurazione come necessario. Una volta configurato, esegui questo progetto localmente, compila il progetto e configura il tuo server MCP per avere la seguente configurazione:

{
  "mcpServers": {
    "weather": {
      "command": "java",
      "args": [
        "-jar",
        "/ABSOLUTE/PATH/TO/PARENT/FOLDER/project/build/libs/weather-0.1.0-all.jar"
      ]
    }
  }
}

Questo configurerà la tua AI per puntare alla cartella di build di questo progetto. Basta compilare il progetto e caricare gli MCP della tua AI per testarlo localmente.

Lezioni da Imparare?

Le lezioni chiave da trarre da questo sono:

• Tutti gli MCP sono terribilmente insicuri.
• Chiunque ospiti un MCP può catturare i tuoi dati.
• Usa solo MCP fidati.
• Esegui qualsiasi MCP come contenitore Docker se possibile
  • npx, java o altri tipi di MCP verranno eseguiti sulla macchina host e apriranno più vettori di attacco