AIエージェントのためのダークウェブ＆脅威インテリジェンス。

HIBP、ThreatFox、ランサムウェア追跡、Tor .onionアクセス、ブロックチェーンインテリジェンス、エクスプロイト検索、スティーラーログ、マルウェア解析 — これらを単一のMCPサーバーに統合。
あなたのAIエージェントはオンデマンドで全領域のダークウェブインテリジェンスを手に入れます。16個のブラウザタブと手作業の相関分析はもう不要です。

課題 • 何が違うのか • クイックスタート • AIにできること • ツール (66) • データソース • アーキテクチャ • 変更履歴 • コントリビューション

darknet-mcp-server demo

課題

ダークウェブインテリジェンスは、あらゆるセキュリティ調査において欠けているレイヤーです。侵害データベース、ランサムウェアトラッカー、Tor隠しサービス、マルウェアサンドボックス、スティーラーログ、ブロックチェーンフォレンジック、エクスプロイトデータベース — 必要なデータは数十のプラットフォームに散在し、それぞれが独自のAPI、独自の認証、独自のレート制限、独自の出力形式を持っています。今日では、あるタブでHIBPを確認し、別のタブでThreatFoxを確認し、Tor経由でランサムウェアリークサイトを閲覧し、ハッシュのためにMalwareBazaarを開き、ブロックエクスプローラーでブロックチェーン取引を確認し、その後1時間かけて手作業でそれらすべてを突き合わせることになります。``` Traditional dark web intel workflow: check breach exposure -> HIBP web interface (paid API) search leaked credentials -> IntelligenceX web interface track ransomware groups -> ransomware.live + ransomlook.io (2 separate UIs) access .onion hidden services -> Tor Browser manually analyze malware samples -> Hybrid Analysis + MalwareBazaar (2 more UIs) check IP abuse history -> AbuseIPDB + GreyNoise (2 more UIs) trace cryptocurrency -> blockchain.info + ChainAbuse search for exploits -> Vulners web interface check phishing URLs -> PhishTank web interface correlate everything -> copy-paste into a report ──────────────────────────────── Total: 60+ minutes per investigation, most of it switching contexts

**darknet-mcp-server** は、[Model Context Protocol](https://modelcontextprotocol.io) を通じて、16 のデータソースにまたがる 66 のツールを AI エージェントに提供します。エージェントはすべてのソースを並列にクエリし、表層ウェブとダークウェブを横断してデータを相関させ、脅威を特定し、単一の会話の中で統合されたインテリジェンス像を提示します &mdash;。```
With darknet-mcp-server:
  You: "Investigate the breach exposure and threat landscape for target.com"

  Agent: -> HIBP: 3 known breaches (Adobe 2013, LinkedIn 2021, Collection #1)
         -> ThreatFox: 2 IOCs associated with domain (C2 callback, phishing)
         -> URLhaus: 1 malicious URL hosted on subdomain
         -> Ransomware: No victim listings found (good)
         -> Stealer logs: 47 compromised employee credentials found
         -> OTX: 5 threat pulses referencing the domain
         -> AbuseIPDB: Primary IP has 12 abuse reports (brute force)
         -> "target.com has been in 3 data breaches exposing 2.1M records.
            47 employee credentials found in stealer logs — immediate
            password reset recommended. 2 active ThreatFox IOCs suggest
            ongoing targeting. No ransomware listings, but the abuse
            reports on the primary IP warrant investigation."

何が違うのか

既存のツールは、一度に1つのソースから生データを提供するだけです。darknet-mcp-server は、AIエージェントに表面ウェブとダークウェブのインテリジェンスを同時に横断して推論する能力を与えます。

クイックスタート

オプション1：npx（インストール不要）```bash

npx darknet-mcp-server

無料ツールはすぐに使えます。ランサムウェア追跡、侵害リスト、GreyNoise、ブロックチェーン、OTXなどにAPIキーは不要です。

### オプション2: クローン```bash
git clone https://github.com/badchars/darknet-mcp-server.git
cd darknet-mcp-server
bun install

環境変数（オプション）```bash

Breach & credential intelligence

export HIBP_API_KEY=your-key # Enables breach account search & paste search export INTELX_API_KEY=your-key # Enables 4 IntelligenceX tools

Threat intelligence

export OTX_API_KEY=your-key # Increases AlienVault OTX rate limits export ABUSEIPDB_API_KEY=your-key # Enables 4 AbuseIPDB tools export ABUSECH_AUTH_KEY=your-key # Higher rate limits for abuse.ch suite export PULSEDIVE_API_KEY=your-key # Higher rate limits for Pulsedive

Stealer logs & credentials

export HUDSONROCK_API_KEY=your-key # Enables 3 Hudson Rock stealer log tools

Exploit & malware analysis

export VULNERS_API_KEY=your-key # Enables Vulners search & exploit tools export HYBRID_API_KEY=your-key # Enables 3 Hybrid Analysis malware tools

Phishing

export PHISHTANK_API_KEY=your-key # Higher rate limits for PhishTank

Tor SOCKS5 proxy (for .onion access)

export TOR_SOCKS_HOST=127.0.0.1 # Default: 127.0.0.1 export TOR_SOCKS_PORT=9050 # Default: 9050

すべてのAPIキーはオプションです。キーがなくても、ランサムウェア追跡、侵害リスト、GreyNoise、ブロックチェーンインテリジェンス、OTX、Tor出口ノードチェック、オニオン検索、CIRCLオニオンルックアップなどを利用できます。

### AIエージェントに接続する

<details open>
<summary><b>Claude Code</b></summary>```bash
# With npx
claude mcp add darknet-mcp-server -- npx darknet-mcp-server

# With local clone
claude mcp add darknet-mcp-server -- bun run /path/to/darknet-mcp-server/src/index.ts

Claude Desktop

~/Library/Application Support/Claude/claude_desktop_config.json に追加します:```json { "mcpServers": { "darknet": { "command": "npx", "args": ["-y", "darknet-mcp-server"], "env": { "HIBP_API_KEY": "optional", "INTELX_API_KEY": "optional", "ABUSEIPDB_API_KEY": "optional", "HUDSONROCK_API_KEY": "optional", "HYBRID_API_KEY": "optional", "VULNERS_API_KEY": "optional" } } } }

</details>

<details>
<summary><b>Cursor / Windsurf / その他の MCP クライアント</b></summary>

同じ JSON 設定形式です。コマンドを `npx darknet-mcp-server` またはローカルのインストールパスに指定してください。

</details>

### Tor のセットアップ（任意、.onion アクセス用）

7 つの Tor ツール（`tor_fetch_onion`、`tor_scrape_onion` など）には、実行中の Tor SOCKS5 プロキシが必要です。```bash
# macOS
brew install tor && brew services start tor

# Linux
sudo apt install tor && sudo systemctl start tor

# Docker
docker run -d -p 9050:9050 dperson/torproxy

# Verify connectivity
npx darknet-mcp-server --check-tor

クエリの開始```

You: "Check if example.com has been in any data breaches and look for stealer logs"

エージェントが侵害調査、認証情報検索、脅威の相関分析などを自動的に処理します。

---

## AIにできること

### 侵害調査```
You: "Check if example.com has been in any data breaches"

Agent: -> breachList {domain: "example.com"}
       -> breachSearch {account: "[email protected]"}
       -> stealer_domain {domain: "example.com"}
       -> intelx_search {term: "example.com"}
       -> "example.com appears in 5 known breaches:
          - ExampleDB 2023: 4.2M records (emails, passwords, IPs)
          - Collection #1: credential stuffing list
          - Combolist 2024: 890K email:password pairs
          Stealer logs: 23 compromised machines with saved credentials
          for example.com found in Hudson Rock database.
          IntelligenceX: 47 results across paste sites and dark web."

--- ## ツールリファレンス (66ツール) <details open> <summary>Torネットワーク (7) — APIキー不要 (.onionツールにはTorデーモンが必要)</summary> | ツール | 説明 | |------|-------------| | `tor_status` | ローカルのTor SOCKS5プロキシデーモンが実行中でアクセス可能かどうかを確認する | | `tor_fetch_onion` | Tor SOCKS5プロキシ経由で.onion URLから生のHTMLを取得する (socks5hによるDNSリーク防止) | | `tor_scrape_onion` | .onionサイトを取得・解析する — タイトル、リンク、本文テキストなどの構造化データを返す | | `tor_search_onion` | Ahmia.fi検索エンジンを使用して.onionサイトを検索する | | `tor_exit_nodes` | 公式Tor Projectの一括エグジットリストから現在のTorエグジットノードIPアドレスを取得する | | `tor_exit_check` | 特定のIPアドレスが既知のTorエグジットノードかどうかを確認する | | `tor_exit_details` | フィンガープリントや公開タイムスタンプを含む詳細なTorエグジットノード情報を取得する | </details> <details> <summary>ランサムウェアインテリジェンス (9) — APIキー不要</summary> | ツール | 説明 | |------|-------------| | `ransomwareRecent` | ransomware.liveから最新のランサムウェア被害者を取得する | | `ransomwareGroups` | ransomware.liveが追跡しているすべての既知のランサムウェアグループを一覧表示する | | `ransomwareGroup` | 名前で特定のランサムウェアグループの詳細プロファイルを取得する | | `ransomwareGroupVictims` | 特定のランサムウェアグループが主張するすべての被害者を取得する | | `ransomwareSearch` | キーワード (企業名、ドメインなど) でランサムウェア被害者を検索する | | `ransomwareByCountry` | ISO 3166-1 alpha-2国コードでフィルタリングしたランサムウェア被害者を取得する | | `ransomwareBySector` | セクター/業界 (ヘルスケア、金融など) でフィルタリングしたランサムウェア被害者を取得する | | `ransomlookGroups` | RansomLookが追跡している582以上のすべてのランサムウェアグループを一覧表示する | | `ransomlookRecent` | RansomLookから最新のランサムウェア投稿と被害者の主張を取得する | </details> <details> <summary>侵害インテリジェンス — HIBP (7) — 一部: 一部のツールは無料、アカウント検索にはHIBP_API_KEYが必要</summary> | ツール | 説明 | |------|-------------| | `breachList` | HaveIBeenPwnedからすべての既知のデータ侵害を一覧表示する。オプションでドメインでフィルタリング可能 — 無料 | | `breachGet` | 名前で特定のデータ侵害の詳細を取得する — 無料 | | `breachLatest` | 最も最近追加されたデータ侵害を取得する — 無料 | | `breachDataClasses` | HIBPが把握しているすべてのデータクラス (侵害されたデータの種類) を一覧表示する — 無料 | | `breachPassword` | パスワードが既知の侵害に出現したかどうかを確認する (k-匿名性、5文字のSHA-1プレフィックスのみ送信) — 無料 | | `breachSearch` | 特定のアカウント (メール/ユーザー名) についてすべての侵害を検索する — `HIBP_API_KEY`が必要 | | `breachPastes` | 公開投稿されたペースト内でメールアドレスを検索する — `HIBP_API_KEY`が必要 | </details> <details> <summary>abuse.chスイート (9) — APIキー不要 (より高いレート制限にはABUSECH_AUTH_KEYが任意)</summary> | ツール | 説明 | |------|-------------| | `threatfoxGetIocs` | 過去N日間に報告されたThreatFoxの最近のIOCを取得する | | `threatfoxSearch` | IP、ドメイン、ハッシュ、またはURLでThreatFoxのIOCを検索する | | `threatfoxTag` | タグ (例: Cobalt Strike、Emotet) でThreatFoxのIOCを検索する | | `threatfoxMalware` | Malpediaの命名を使用してマルウェアファミリーでThreatFoxのIOCを検索する | | `urlhausLookup` | マルウェア配布のためにURLhausでURLまたはホストを検索する | | `urlhausTag` | タグでURLhausエントリを検索する | | `bazaarHash` | MD5、SHA1、またはSHA256ハッシュでMalwareBazaar内のマルウェアサンプルを検索する | | `bazaarRecent` | MalwareBazaarから最も最近提出されたマルウェアサンプルを取得する | | `bazaarTag` | タグまたはYARAシグネチャ名でMalwareBazaarを検索する | </details> <details> <summary>AlienVault OTX (5) — APIキー不要 (より高いレート制限にはOTX_API_KEYが任意)</summary> | ツール | 説明 | |------|-------------| | `otx_ip` | IPアドレスの脅威インテリジェンスを検索する — パルス情報、評判、国、ASN | | `otx_domain` | ドメインの脅威インテリジェンスを検索する — パルス情報、whois、評判 | | `otx_hash` | ファイルハッシュ (MD5、SHA1、SHA256) の脅威インテリジェンスを検索する | | `otx_cve` | CVEの脅威インテリジェンスを検索する — 関連するパルスとインジケーター | | `otx_search_pulses` | キーワードでOTX脅威パルスを検索する | </details> <details> <summary>AbuseIPDB (4) — ABUSEIPDB_API_KEYが必要</summary> | ツール | 説明 | |------|-------------| | `abuseipdb_check` | IPアドレスの不正報告を確認する — 信頼スコア、ISP、国、報告件数 | | `abuseipdb_reports` | 詳細なコメントとカテゴリを含むIPの個別不正報告を取得する | | `abuseipdb_blacklist` | 最も報告された悪意のあるIPアドレスのAbuseIPDBブラックリストを取得する | | `abuseipdb_check_block` | CIDRネットワークブロック全体の不正報告を確認する | </details> <details> <summary>GreyNoise Community (2) — APIキー不要</summary> | ツール | 説明 | |------|-------------| | `greynoise_ip` | GreyNoiseでIPを検索する — 分類 (良性/悪性/不明)、スキャナステータス | | `greynoise_check` | クイックチェック: このIPは既知のスキャナまたは既知の良性サービスか? | </details> <details> <summary>Pulsedive (3) — APIキー不要 (より高いレート制限にはPULSEDIVE_API_KEYが任意)</summary> | ツール | 説明 | |------|-------------| | `pulsedive_indicator` | インジケーター (IP、ドメイン、URL、またはハッシュ) を検索する — リスクレベル、脅威、フィード | | `pulsedive_search` | 値でPulsediveインジケーターを検索する | | `pulsedive_explore` | 高度なクエリを使用してリンクされたインジケーターを探索する (リスクレベル付きの関連IOC) | </details> <details> <summary>Hudson Rock Stealerログ (3) — HUDSONROCK_API_KEYが必要</summary> | ツール | 説明 | |------|-------------| | `stealer_domain` | ドメインでStealerログエントリを検索する — 侵害されたマシン、認証情報、マルウェアの詳細 | | `stealer_email` | メールアドレスでStealerログを検索する — ブラウザ認証情報にそのメールアドレスを持つ侵害されたマシン | | `stealer_ip` | IPアドレスでStealerログを検索する — そのIPから発信された侵害されたマシン | </details> <details> <summary>Vulners Exploits (3) — APIキー不要 (検索にはVULNERS_API_KEYが任意)</summary> | ツール | 説明 | |------|-------------| | `vulners_search` | Luceneクエリを使用してVulners脆弱性データベースを検索する | | `vulners_id` | ID (CVE、EDB、GHSA) で特定の脆弱性またはエクスプロイトを検索する — 無料 | | `vulners_exploit` | エクスプロイト (ExploitDBエントリ) を特に対象とした検索を行う | </details> <details> <summary>ブロックチェーンインテリジェンス (4) — APIキー不要</summary> | ツール | 説明 | |------|-------------| | `btc_address` | Bitcoinアドレスを検索する — 残高、トランザクション数、最近のトランザクション | | `btc_balance` | Bitcoinアドレスの残高をsatoshi単位で取得する (完全な履歴なしのクイックチェック) | | `btc_tx` | ハッシュで詳細なBitcoinトランザクション情報を取得する — 入力、出力、手数料、ブロック情報 | | `btc_abuse_check` | ChainAbuseでBitcoinアドレスの不正報告を確認する — カテゴリ付きの詐欺報告 | </details> <details> <summary>Hybrid Analysisマルウェア (3) — HYBRID_API_KEYが必要</summary> | ツール | 説明 | |------|-------------| | `malware_search` | ファイルハッシュでHybrid Analysisサンドボックスを検索する — 判定、AV検出率、分析の詳細 | | `malware_overview` | 完全なマルウェア分析の概要 — MITRE ATT&CKテクニック、ネットワークインジケーター、プロセス | | `malware_feed` | 最新のマルウェア起動フィードを取得する — 判定付きの最近分析されたサンプル | </details> <details> <summary>CIRCL Onion Lookup (1) — APIキー不要</summary> | ツール | 説明 | |------|-------------| | `onion_lookup` | CIRCL AILプロジェクト経由で.onionアドレスのメタデータを検索する — 初回/最終確認日時、ステータス、タグ、証明書、ポート、BTCアドレス | </details> <details> <summary>IntelligenceX (4) — INTELX_API_KEYが必要</summary> | ツール | 説明 | |------|-------------| | `intelx_search` | 漏洩データ、ダークウェブコンテンツなどのIntelligenceX検索を開始する | | `intelx_search_results` | IDでIntelligenceX検索の結果を取得する | | `intelx_phonebook` | 電話帳検索 — 用語に関連するメール、ドメイン、URLを検索する | | `intelx_phonebook_results` | IDで電話帳検索結果を取得する | </details> <details> <summary>PhishTank (1) — APIキー不要 (より高いレート制限にはPHISHTANK_API_KEYが任意)</summary> | ツール | 説明 | |------|-------------| | `phishing_check` | PhishTank経由でURLが既知のフィッシングサイトかどうかを確認する | </details> <details> <summary>Meta (1) — APIキー不要</summary> | ツール | 説明 | |------|-------------| | `darknet_list_sources` | 設定ステータス、APIキーステータス、ツール数を含むすべての利用可能なデータソースを一覧表示する | </details> --- ### CLIの使用方法```bash # List all available tools npx darknet-mcp-server --list # Check Tor SOCKS5 proxy connectivity npx darknet-mcp-server --check-tor # Run any tool directly npx darknet-mcp-server --tool breachList '{"domain":"adobe.com"}' npx darknet-mcp-server --tool ransomwareRecent '{}' npx darknet-mcp-server --tool tor_search_onion '{"query":"marketplace"}' npx darknet-mcp-server --tool btc_address '{"address":"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa"}' # Tools requiring API keys HIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{"account":"[email protected]"}' HYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{"hash":"abc123..."}'

**設計上の決定事項:** - **16プロバイダー、1サーバー** — すべてのデータソースは独立したモジュールです。エージェントはクエリに基づいて使用するツールを選択します。 - **プロバイダーごとのレートリミッター** — 各データソースは、そのAPIの制限に合わせて調整された独自の `RateLimiter` インスタンスを持ちます。共有のボトルネックはありません。 - **TTLキャッシュ** — ランサムウェアデータ(15分)、侵害リスト(10分)、abuse.ch(5分)の結果はキャッシュされ、マルチツールワークフロー中の冗長なAPI呼び出しを回避します。 - **グレースフルデグラデーション** — APIキーが欠けていてもサーバーはクラッシュしません。ツールは説明的なエラーメッセージを返します:「侵害アカウント検索を有効にするには HIBP_API_KEY を設定してください。」 - **DNSリーク防止** — Tor .onionツールは `socks5h://` プロトコルを使用してTor経由でDNSを解決し、ローカルリゾルバーへのDNSリークを防ぎます。 - **依存関係は4つ** — `@modelcontextprotocol/sdk`、`zod`、`socks-proxy-agent`、`cheerio`。すべてのクリアネットHTTPはネイティブの `fetch` 経由。すべてのTorトラフィックはSOCKS5経由。 --- ## 制限事項 - HIBPのアカウント/ペースト検索には有料APIキーが必要です(月額$3.50) - IntelligenceX、AbuseIPDB、Hudson Rock、Hybrid Analysisは、それぞれのツールにAPIキーが必要です - Tor .onionツールには実行中のTor SOCKS5プロキシが必要です(同梱されていません) - abuse.chの無料枠は `ABUSECH_AUTH_KEY` がないとレート制限が低くなります - Ransomware.liveとRansomLookのデータは、上流のスクレイピング頻度に依存します - ブロックチェーンツールはBitcoinのみをサポートします(Ethereum/Moneroは非対応) - PhishTankデータベースはリアルタイムのフィッシングキャンペーンより遅れることがあります - macOS / Linuxでテスト済み(Windowsは未テスト) --- ## MCP Security Suiteの一部 | プロジェクト | ドメイン | ツール | |---|---|---| | [hackbrowser-mcp](https://github.com/badchars/hackbrowser-mcp) | ブラウザベースのセキュリティテスト | 39ツール、Firefox、インジェクションテスト | | [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) | クラウドセキュリティ(AWS/Azure/GCP) | 38ツール、60以上のチェック | | [github-security-mcp](https://github.com/badchars/github-security-mcp) | GitHubセキュリティ態勢 | 39ツール、45のチェック | | [cve-mcp](https://github.com/badchars/cve-mcp) | 脆弱性インテリジェンス | 23ツール、5ソース | | [osint-mcp-server](https://github.com/badchars/osint-mcp-server) | OSINTと偵察 | 37ツール、12ソース | | **darknet-mcp-server** | **ダークウェブと脅威インテリジェンス** | **66ツール、16ソース** | --- 許可されたセキュリティテストおよび評価専用です。 いかなるターゲットに対してもインテリジェンス収集を実行する前に、必ず適切な許可を得ていることを確認してください。 <a href="https://github.com/badchars/darknet-mcp-server/blob/main/LICENSE">MIT License</a> • Built with Bun + TypeScript

インターフェース	16種類の異なるWeb UI、CLI、API	MCP — AIエージェントが会話形式でツールを呼び出す
データソース	一度に1つのプラットフォーム	16のソースを並列でクエリ
侵害インテリジェンス	侵害にはHIBP Web UI、リークにはIntelligenceX	エージェントがHIBPの侵害 + ペースト + IntelligenceX + スティーラーログを統合
ダークウェブアクセス	手動のTor Browser、.onionサイトからのコピー&ペースト	エージェントがSOCKS5プロキシ経由で.onionサイトを取得、スクレイプ、検索
マルウェア分析	Hybrid Analysis + MalwareBazaar + ThreatFoxを別々に	エージェントが相互参照：「ThreatFoxからのこのハッシュは、ネットワークIOC付きでHybrid Analysisでも起動された」
ブロックチェーン	ブロックエクスプローラー + ChainAbuseを別々に	エージェントがBTCトランザクションを追跡し、悪用レポートを1ステップで確認
APIキー	ほぼすべてに必要	多くのツールは無料で動作；APIキーでプレミアムソースを解放
セットアップ	各ツールをインストール、各設定を管理、Tor Browserを実行	`npx darknet-mcp-server` — 1コマンド、設定不要

ソース	認証	レート制限	提供内容
Have I Been Pwned	`HIBP_API_KEY`	1 req/1.5s	侵害検索、ペースト検索、パスワードチェック、侵害リスト
IntelligenceX	`INTELX_API_KEY`	1 req/s	ダークウェブコンテンツ、漏洩データ検索、電話帳 (メール/ドメイン/URL)
AlienVault OTX	任意	1 req/s	IP、ドメイン、ハッシュ、CVE の脅威インテリジェンス、脅威パルス検索
AbuseIPDB	`ABUSEIPDB_API_KEY`	1 req/s	IP 不正利用レポート、信頼度スコアリング、ブラックリスト、CIDR ブロックチェック
abuse.ch (ThreatFox)	任意	2 req/s	IOC 検索、マルウェアファミリ追跡、タグベース検索
abuse.ch (URLhaus)	任意	2 req/s	マルウェア配布 URL 追跡、ホスト/URL 検索
abuse.ch (MalwareBazaar)	任意	2 req/s	マルウェアサンプルリポジトリ、ハッシュ検索、YARA シグネチャ検索
GreyNoise	なし	1 req/s	IP 分類 (良性/悪性)、インターネットスキャナ検出
Pulsedive	任意	1 req/s	インジケータエンリッチメント、リスクスコアリング、関連 IOC 探索
Hudson Rock Cavalier	`HUDSONROCK_API_KEY`	1 req/s	ドメイン、メール、IP によるスティーラーログ検索
Vulners	任意	1 req/s	脆弱性/エクスプロイトデータベース、CVE 検索、ExploitDB 検索
Blockchain.info	なし	1 req/s	Bitcoin アドレス検索、残高、トランザクション詳細
ChainAbuse	なし	1 req/s	Bitcoin アドレスの不正利用/詐欺レポート

人気

darknet-mcp-server

ランサムウェアの追跡```

マルウェア解析```

データソース (16)

アーキテクチャ```