darknet-mcp-server

기존 다크웹 인텔리전스 워크플로우:
  유출 노출 확인               ->  HIBP 웹 인터페이스 (유료 API)
  유출된 자격증명 검색           ->  IntelligenceX 웹 인터페이스
  랜섬웨어 그룹 추적            ->  ransomware.live + ransomlook.io (2개의 별도 UI)
  .onion 히든 서비스 접근       ->  Tor 브라우저 수동 사용
  악성코드 샘플 분석            ->  Hybrid Analysis + MalwareBazaar (2개 더)
  IP 악용 이력 확인            ->  AbuseIPDB + GreyNoise (2개 더)
  암호화폐 추적               ->  blockchain.info + ChainAbuse
  익스플로잇 검색              ->  Vulners 웹 인터페이스
  피싱 URL 확인              ->  PhishTank 웹 인터페이스
  모든 정보 상관분석            ->  보고서에 복사-붙여넣기
  ────────────────────────────────
  합계: 조사당 60분 이상, 대부분 컨텍스트 전환에 소비

darknet-mcp-server 사용:
  사용자: "target.com의 유출 노출과 위협 현황을 조사해주세요"

  에이전트: -> HIBP: 3건의 알려진 유출 (Adobe 2013, LinkedIn 2021, Collection #1)
           -> ThreatFox: 도메인과 연관된 2개의 IOC (C2 콜백, 피싱)
           -> URLhaus: 서브도메인에 호스팅된 1개의 악성 URL
           -> 랜섬웨어: 피해자 목록 없음 (좋은 소식)
           -> 스틸러 로그: 47개의 유출된 직원 자격증명 발견
           -> OTX: 도메인을 참조하는 5개의 위협 펄스
           -> AbuseIPDB: 기본 IP에 12건의 악용 보고 (무차별 대입)
           -> "target.com은 3건의 데이터 유출에 연루되어 210만 건의
              레코드가 노출되었습니다. 스틸러 로그에서 47개의 직원
              자격증명이 발견되었습니다 — 즉시 비밀번호 재설정을
              권장합니다. 2개의 활성 ThreatFox IOC는 지속적인
              공격을 시사합니다. 랜섬웨어 목록은 없지만 기본 IP의
              악용 보고는 조사가 필요합니다."

npx darknet-mcp-server

git clone https://github.com/badchars/darknet-mcp-server.git
cd darknet-mcp-server
bun install

# 유출 및 자격증명 인텔리전스
export HIBP_API_KEY=your-key           # 유출 계정 검색 및 페이스트 검색 활성화
export INTELX_API_KEY=your-key         # 4개의 IntelligenceX 도구 활성화

# 위협 인텔리전스
export OTX_API_KEY=your-key            # AlienVault OTX 속도 제한 증가
export ABUSEIPDB_API_KEY=your-key      # 4개의 AbuseIPDB 도구 활성화
export ABUSECH_AUTH_KEY=your-key       # abuse.ch 제품군의 속도 제한 증가
export PULSEDIVE_API_KEY=your-key      # Pulsedive 속도 제한 증가

# 스틸러 로그 및 자격증명
export HUDSONROCK_API_KEY=your-key     # 3개의 Hudson Rock 스틸러 로그 도구 활성화

# 익스플로잇 및 악성코드 분석
export VULNERS_API_KEY=your-key        # Vulners 검색 및 익스플로잇 도구 활성화
export HYBRID_API_KEY=your-key         # 3개의 Hybrid Analysis 악성코드 도구 활성화

# 피싱
export PHISHTANK_API_KEY=your-key      # PhishTank 속도 제한 증가

# Tor SOCKS5 프록시 (.onion 접근용)
export TOR_SOCKS_HOST=127.0.0.1       # 기본값: 127.0.0.1
export TOR_SOCKS_PORT=9050            # 기본값: 9050

# macOS
brew install tor && brew services start tor

# Linux
sudo apt install tor && sudo systemctl start tor

# Docker
docker run -d -p 9050:9050 dperson/torproxy

# 연결 확인
npx darknet-mcp-server --check-tor

사용자: "example.com이 데이터 유출에 포함되었는지 확인하고 스틸러 로그를 찾아주세요"

사용자: "example.com이 데이터 유출에 포함되었는지 확인해주세요"

에이전트: -> breachList {domain: "example.com"}
         -> breachSearch {account: "[email protected]"}
         -> stealer_domain {domain: "example.com"}
         -> intelx_search {term: "example.com"}
         -> "example.com은 5건의 알려진 유출에 나타납니다:
            - ExampleDB 2023: 420만 건의 레코드 (이메일, 비밀번호, IP)
            - Collection #1: 크리덴셜 스터핑 목록
            - Combolist 2024: 89만 개의 이메일:비밀번호 쌍
            스틸러 로그: Hudson Rock 데이터베이스에서 example.com의
            자격증명이 저장된 23대의 감염된 컴퓨터가 발견되었습니다.
            IntelligenceX: 페이스트 사이트와 다크웹에서 47건의 결과."

사용자: "어떤 랜섬웨어 그룹이 의료 산업을 타겟으로 하고 있나요?"

에이전트: -> ransomwareBySector {sector: "healthcare"}
         -> ransomwareRecent {}
         -> ransomlookRecent {}
         -> "의료 산업 랜섬웨어 활동:
            지난 12개월간 12개 그룹에 걸쳐 142명의 피해자.
            주요 그룹: LockBit3 (38명), BlackCat/ALPHV (24명),
            Cl0p (19명), Royal (15명).
            최근: MedCorp Inc.가 LockBit3에 의해 등록됨 (2일 전).
            지난 한 주 동안 ransomware.live와 RansomLook 피드에
            3명의 새로운 의료 산업 피해자 발생."

사용자: ".onion 사이트에서 우리 회사에 대한 언급을 검색해주세요"

에이전트: -> tor_search_onion {query: "AcmeCorp"}
         -> intelx_search {term: "acmecorp.com"}
         -> onion_lookup {address: "relevant-onion-address.onion"}
         -> "AcmeCorp 다크웹 검색 결과:
            Ahmia.fi: 3개의 .onion 페이지에서 AcmeCorp 언급
            - 포럼 게시글에서 AcmeCorp 직원 명단 논의 (유출 포럼)
            - 마켓플레이스에 AcmeCorp 데이터베이스 등록 (미확인)
            - 블로그 게시글에서 AcmeCorp 유출 사건 언급
            IntelligenceX: 페이스트 사이트에서 12건의 결과
            권장사항: 포럼 게시글과 마켓플레이스 등록을 조사하여
            활성 데이터 판매 가능성을 확인하세요."

사용자: "이 파일 해시의 악성코드 지표를 분석해주세요: abc123def456..."

에이전트: -> malware_search {hash: "abc123def456..."}
         -> malware_overview {sha256: "abc123def456..."}
         -> bazaarHash {hash: "abc123def456..."}
         -> threatfoxSearch {searchTerm: "abc123def456..."}
         -> otx_hash {hash: "abc123def456..."}
         -> "abc123def456 악성코드 분석:
            Hybrid Analysis: 악성 (위협 점수 95/100)
            - 패밀리: AgentTesla (정보 탈취기)
            - MITRE ATT&CK: T1555 (자격증명 접근), T1071 (C2)
            - 네트워크 IOC: 3개의 C2 도메인, 2개의 IP
            MalwareBazaar: 최초 발견 2024-03-15, 'AgentTesla' 태그
            ThreatFox: 동일 캠페인과 연결된 2개의 IOC 항목
            OTX: 4개의 위협 펄스에서 참조됨"

# 모든 사용 가능한 도구 나열
npx darknet-mcp-server --list

# Tor SOCKS5 프록시 연결 확인
npx darknet-mcp-server --check-tor

# 도구 직접 실행
npx darknet-mcp-server --tool breachList '{"domain":"adobe.com"}'
npx darknet-mcp-server --tool ransomwareRecent '{}'
npx darknet-mcp-server --tool tor_search_onion '{"query":"marketplace"}'
npx darknet-mcp-server --tool btc_address '{"address":"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa"}'

# API 키가 필요한 도구
HIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{"account":"[email protected]"}'
HYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{"hash":"abc123..."}'

src/
  index.ts                # CLI 진입점 (--help, --list, --check-tor, stdio 서버)
  protocol/
    mcp-server.ts         # MCP 서버 설정 (stdio 전송)
    tools.ts              # 도구 레지스트리 — 모든 66개 도구가 여기서 조립
  types/
    index.ts              # 공유 타입 (ToolDef, ToolContext, ToolResult)
  utils/
    rate-limiter.ts       # 공급자별 속도 제한기
    cache.ts              # API 응답용 TTL 캐시
    tor-fetch.ts          # Tor SOCKS5 프록시 HTTP 클라이언트
    require-key.ts        # API 키 검증 헬퍼
  tor/                    # Tor 네트워크 도구 (7)
  ransomware/             # 랜섬웨어 인텔리전스 도구 (9)
  breach/                 # HIBP 유출 도구 (7)
  abusech/                # ThreatFox + URLhaus + MalwareBazaar 도구 (9)
  otx/                    # AlienVault OTX 도구 (5)
  abuseipdb/              # AbuseIPDB 도구 (4)
  greynoise/              # GreyNoise 커뮤니티 도구 (2)
  pulsedive/              # Pulsedive 도구 (3)
  hudsonrock/             # Hudson Rock 스틸러 로그 도구 (3)
  vulners/                # Vulners 익스플로잇 도구 (3)
  blockchain/             # 블록체인 인텔리전스 도구 (4)
  hybrid/                 # Hybrid Analysis 악성코드 도구 (3)
  onionlookup/            # CIRCL 어니언 조회 도구 (1)
  intelx/                 # IntelligenceX 도구 (4)
  phishing/               # PhishTank 도구 (1)
  meta/                   # Meta 도구 (1)