</details>

<details>
<summary><b>Cursor / Windsurf / outros clientes MCP</b></summary>

Mesmo formato de configuração JSON. Aponte o comando para `npx darknet-mcp-server` ou para o caminho da sua instalação local.

</details>

### Configuração do Tor (opcional, para acesso a .onion)

As 7 ferramentas Tor (`tor_fetch_onion`, `tor_scrape_onion`, etc.) requerem um proxy Tor SOCKS5 em execução.```bash
# macOS
brew install tor && brew services start tor

# Linux
sudo apt install tor && sudo systemctl start tor

# Docker
docker run -d -p 9050:9050 dperson/torproxy

# Verify connectivity
npx darknet-mcp-server --check-tor

É isso. O agente trata automaticamente de pesquisas de violações, buscas de credenciais, correlação de ameaças e muito mais.

---

## O Que a IA Pode Fazer

### Investigação de Violações```
You: "Check if example.com has been in any data breaches"

Agent: -> breachList {domain: "example.com"}
       -> breachSearch {account: "[email protected]"}
       -> stealer_domain {domain: "example.com"}
       -> intelx_search {term: "example.com"}
       -> "example.com appears in 5 known breaches:
          - ExampleDB 2023: 4.2M records (emails, passwords, IPs)
          - Collection #1: credential stuffing list
          - Combolist 2024: 890K email:password pairs
          Stealer logs: 23 compromised machines with saved credentials
          for example.com found in Hudson Rock database.
          IntelligenceX: 47 results across paste sites and dark web."

### Reconhecimento na Dark Web```
You: "Search for mentions of our company on .onion sites"

Agent: -> tor_search_onion {query: "AcmeCorp"}
       -> intelx_search {term: "acmecorp.com"}
       -> onion_lookup {address: "relevant-onion-address.onion"}
       -> "Dark web search results for AcmeCorp:
          Ahmia.fi: 3 .onion pages mention AcmeCorp
          - Forum post discussing AcmeCorp employee list (leak forum)
          - Marketplace listing for AcmeCorp database (unverified)
          - Blog post referencing AcmeCorp breach
          IntelligenceX: 12 results on paste sites
          Recommendation: investigate the forum post and marketplace
          listing for potential active data sales."

---

## Referência de Ferramentas (66 ferramentas)

<details open>
<summary><b>Rede Tor (7) &mdash; Sem chave de API (daemon Tor necessário para ferramentas .onion)</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `tor_status` | Verifica se o daemon proxy SOCKS5 local do Tor está em execução e acessível |
| `tor_fetch_onion` | Obtém HTML bruto de uma URL .onion através do proxy SOCKS5 do Tor (prevenção de vazamento de DNS via socks5h) |
| `tor_scrape_onion` | Obtém e analisa um site .onion &mdash; retorna dados estruturados: título, links, texto do corpo |
| `tor_search_onion` | Pesquisa sites .onion usando o motor de busca Ahmia.fi |
| `tor_exit_nodes` | Obtém os endereços IP atuais dos nós de saída do Tor a partir da lista oficial de saída em massa do Tor Project |
| `tor_exit_check` | Verifica se um endereço IP específico é um nó de saída do Tor conhecido |
| `tor_exit_details` | Obtém informações detalhadas do nó de saída do Tor, incluindo fingerprints e timestamps de publicação |

</details>

<details>
<summary><b>Inteligência de Ransomware (9) &mdash; Sem chave de API</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `ransomwareRecent` | Obtém as vítimas de ransomware mais recentes do ransomware.live |
| `ransomwareGroups` | Lista todos os grupos de ransomware conhecidos rastreados pelo ransomware.live |
| `ransomwareGroup` | Obtém um perfil detalhado de um grupo de ransomware específico por nome |
| `ransomwareGroupVictims` | Obtém todas as vítimas reivindicadas por um grupo de ransomware específico |
| `ransomwareSearch` | Pesquisa vítimas de ransomware por palavra-chave (nome da empresa, domínio, etc.) |
| `ransomwareByCountry` | Obtém vítimas de ransomware filtradas por código de país ISO 3166-1 alpha-2 |
| `ransomwareBySector` | Obtém vítimas de ransomware filtradas por setor/indústria (saúde, finanças, etc.) |
| `ransomlookGroups` | Lista todos os 582+ grupos de ransomware rastreados pelo RansomLook |
| `ransomlookRecent` | Obtém as postagens de ransomware e reivindicações de vítimas mais recentes do RansomLook |

</details>

<details>
<summary><b>Inteligência de Vazamentos &mdash; HIBP (7) &mdash; Parcial: algumas ferramentas gratuitas, pesquisa de conta requer HIBP_API_KEY</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `breachList` | Lista todos os vazamentos de dados conhecidos do HaveIBeenPwned, opcionalmente filtrando por domínio &mdash; gratuito |
| `breachGet` | Obtém detalhes de um vazamento de dados específico por nome &mdash; gratuito |
| `breachLatest` | Obtém o vazamento de dados adicionado mais recentemente &mdash; gratuito |
| `breachDataClasses` | Lista todas as classes de dados (tipos de dados comprometidos) conhecidas pelo HIBP &mdash; gratuito |
| `breachPassword` | Verifica se uma senha apareceu em vazamentos conhecidos (k-anonimato, apenas prefixo SHA-1 de 5 caracteres enviado) &mdash; gratuito |
| `breachSearch` | Pesquisa todos os vazamentos para uma conta específica (email/nome de usuário) &mdash; requer `HIBP_API_KEY` |
| `breachPastes` | Pesquisa um endereço de email em pastes publicados publicamente &mdash; requer `HIBP_API_KEY` |

</details>

<details>
<summary><b>Suíte abuse.ch (9) &mdash; Sem chave de API (ABUSECH_AUTH_KEY opcional para taxa maior)</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `threatfoxGetIocs` | Obtém IOCs recentes do ThreatFox reportados nos últimos N dias |
| `threatfoxSearch` | Pesquisa IOCs do ThreatFox por IP, domínio, hash ou URL |
| `threatfoxTag` | Pesquisa IOCs do ThreatFox por tag (ex.: Cobalt Strike, Emotet) |
| `threatfoxMalware` | Pesquisa IOCs do ThreatFox por família de malware usando nomenclatura Malpedia |
| `urlhausLookup` | Consulta uma URL ou host no URLhaus para distribuição de malware |
| `urlhausTag` | Pesquisa entradas do URLhaus por tag |
| `bazaarHash` | Consulta uma amostra de malware no MalwareBazaar por hash MD5, SHA1 ou SHA256 |
| `bazaarRecent` | Obtém as amostras de malware submetidas mais recentemente do MalwareBazaar |
| `bazaarTag` | Pesquisa o MalwareBazaar por tag ou nome de assinatura YARA |

</details>

<details>
<summary><b>AlienVault OTX (5) &mdash; Sem chave de API (OTX_API_KEY opcional para taxa maior)</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `otx_ip` | Consulta inteligência de ameaças para um endereço IP &mdash; informações de pulso, reputação, país, ASN |
| `otx_domain` | Consulta inteligência de ameaças para um domínio &mdash; informações de pulso, whois, reputação |
| `otx_hash` | Consulta inteligência de ameaças para um hash de arquivo (MD5, SHA1, SHA256) |
| `otx_cve` | Consulta inteligência de ameaças para um CVE &mdash; pulsos e indicadores relacionados |
| `otx_search_pulses` | Pesquisa pulsos de ameaças do OTX por palavra-chave |

</details>

<details>
<summary><b>AbuseIPDB (4) &mdash; Requer ABUSEIPDB_API_KEY</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `abuseipdb_check` | Verifica um endereço IP para relatórios de abuso &mdash; pontuação de confiança, ISP, país, contagem de relatórios |
| `abuseipdb_reports` | Obtém relatórios de abuso individuais para um IP com comentários detalhados e categorias |
| `abuseipdb_blacklist` | Obtém a lista negra do AbuseIPDB dos endereços IP maliciosos mais reportados |
| `abuseipdb_check_block` | Verifica um bloco de rede CIDR inteiro para relatórios de abuso |

</details>

<details>
<summary><b>GreyNoise Community (2) &mdash; Sem chave de API</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `greynoise_ip` | Consulta um IP no GreyNoise &mdash; classificação (benigno/malicioso/desconhecido), status de scanner |
| `greynoise_check` | Verificação rápida: este IP é um scanner conhecido ou serviço benigno conhecido? |

</details>

<details>
<summary><b>Pulsedive (3) &mdash; Sem chave de API (PULSEDIVE_API_KEY opcional para taxa maior)</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `pulsedive_indicator` | Consulta um indicador (IP, domínio, URL ou hash) &mdash; nível de risco, ameaças, feeds |
| `pulsedive_search` | Pesquisa indicadores do Pulsedive por valor |
| `pulsedive_explore` | Explora indicadores vinculados usando consultas avançadas (IOCs relacionados com níveis de risco) |

</details>

<details>
<summary><b>Hudson Rock Stealer Logs (3) &mdash; Requer HUDSONROCK_API_KEY</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `stealer_domain` | Pesquisa entradas de logs de stealer por domínio &mdash; máquinas comprometidas, credenciais, detalhes de malware |
| `stealer_email` | Pesquisa logs de stealer por endereço de email &mdash; máquinas comprometidas com esse email em credenciais do navegador |
| `stealer_ip` | Pesquisa logs de stealer por endereço IP &mdash; máquinas comprometidas originadas desse IP |

</details>

<details>
<summary><b>Vulners Exploits (3) &mdash; Sem chave de API (VULNERS_API_KEY opcional para pesquisa)</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `vulners_search` | Pesquisa o banco de dados de vulnerabilidades Vulners usando consultas Lucene |
| `vulners_id` | Consulta uma vulnerabilidade ou exploit específico por ID (CVE, EDB, GHSA) &mdash; gratuito |
| `vulners_exploit` | Pesquisa especificamente por exploits (entradas do ExploitDB) |

</details>

<details>
<summary><b>Inteligência de Blockchain (4) &mdash; Sem chave de API</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `btc_address` | Consulta um endereço Bitcoin &mdash; saldo, contagem de transações, transações recentes |
| `btc_balance` | Obtém o saldo de um endereço Bitcoin em satoshi (verificação rápida sem histórico completo) |
| `btc_tx` | Obtém informações detalhadas de uma transação Bitcoin por hash &mdash; entradas, saídas, taxas, informações do bloco |
| `btc_abuse_check` | Verifica um endereço Bitcoin para relatórios de abuso no ChainAbuse &mdash; relatórios de golpe com categorias |

</details>

<details>
<summary><b>Hybrid Analysis Malware (3) &mdash; Requer HYBRID_API_KEY</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `malware_search` | Pesquisa o sandbox Hybrid Analysis por hash de arquivo &mdash; veredito, taxa de detecção de AV, detalhes da análise |
| `malware_overview` | Visão geral completa da análise de malware &mdash; técnicas MITRE ATT&CK, indicadores de rede, processos |
| `malware_feed` | Obtém o feed de detonação de malware mais recente &mdash; amostras analisadas recentemente com vereditos |

</details>

<details>
<summary><b>CIRCL Onion Lookup (1) &mdash; Sem chave de API</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `onion_lookup` | Consulta metadados de um endereço .onion via projeto CIRCL AIL &mdash; primeira/última visualização, status, tags, certificados, portas, endereços BTC |

</details>

<details>
<summary><b>IntelligenceX (4) &mdash; Requer INTELX_API_KEY</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `intelx_search` | Inicia uma pesquisa no IntelligenceX para dados vazados, conteúdo da dark web e mais |
| `intelx_search_results` | Recupera resultados de uma pesquisa do IntelligenceX por ID |
| `intelx_phonebook` | Pesquisa no Phonebook &mdash; encontra emails, domínios, URLs associados a um termo |
| `intelx_phonebook_results` | Recupera resultados de pesquisa do phonebook por ID |

</details>

<details>
<summary><b>PhishTank (1) &mdash; Sem chave de API (PHISHTANK_API_KEY opcional para taxa maior)</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `phishing_check` | Verifica se uma URL é um site de phishing conhecido via PhishTank |

</details>

<details>
<summary><b>Meta (1) &mdash; Sem chave de API</b></summary>

| Ferramenta | Descrição |
|------|-------------|
| `darknet_list_sources` | Lista todas as fontes de dados disponíveis com status de configuração, status da chave de API e contagens de ferramentas |

</details>

---

### Uso da CLI```bash
# List all available tools
npx darknet-mcp-server --list

# Check Tor SOCKS5 proxy connectivity
npx darknet-mcp-server --check-tor

# Run any tool directly
npx darknet-mcp-server --tool breachList '{"domain":"adobe.com"}'
npx darknet-mcp-server --tool ransomwareRecent '{}'
npx darknet-mcp-server --tool tor_search_onion '{"query":"marketplace"}'
npx darknet-mcp-server --tool btc_address '{"address":"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa"}'

# Tools requiring API keys
HIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{"account":"[email protected]"}'
HYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{"hash":"abc123..."}'

**Decisões de design:**

- **16 provedores, 1 servidor** — Cada fonte de dados é um módulo independente. O agente escolhe quais ferramentas usar com base na consulta.
- **Limitadores de taxa por provedor** — Cada fonte de dados tem sua própria instância de `RateLimiter` calibrada para os limites daquela API. Sem gargalo compartilhado.
- **Cache com TTL** — Dados de ransomware (15min), listas de vazamentos (10min), resultados do abuse.ch (5min) são armazenados em cache para evitar chamadas de API redundantes durante fluxos de trabalho com múltiplas ferramentas.
- **Degradação graciosa** — Chaves de API ausentes não derrubam o servidor. As ferramentas retornam mensagens de erro descritivas: "Set HIBP_API_KEY to enable breach account search."
- **Prevenção de vazamento de DNS** — Ferramentas Tor .onion usam o protocolo `socks5h://` para resolver DNS através do Tor, evitando vazamentos de DNS para o resolvedor local.
- **4 dependências** — `@modelcontextprotocol/sdk`, `zod`, `socks-proxy-agent` e `cheerio`. Todo HTTP clearnet via `fetch` nativo. Todo tráfego Tor via SOCKS5.

---

## Limitações

- A busca de conta/paste do HIBP requer uma chave de API paga ($3.50/mês)
- IntelligenceX, AbuseIPDB, Hudson Rock e Hybrid Analysis requerem chaves de API para suas ferramentas
- Ferramentas Tor .onion requerem um proxy Tor SOCKS5 em execução (não incluído)
- O nível gratuito do abuse.ch tem limites de taxa menores sem `ABUSECH_AUTH_KEY`
- Os dados do Ransomware.live e RansomLook dependem da frequência de scraping upstream
- Ferramentas de blockchain suportam apenas Bitcoin (sem Ethereum/Monero)
- O banco de dados do PhishTank pode ficar atrás de campanhas de phishing em tempo real
- Testado em macOS / Linux (Windows não testado)

---

## Parte do MCP Security Suite

| Projeto | Domínio | Ferramentas |
|---|---|---|
| [hackbrowser-mcp](https://github.com/badchars/hackbrowser-mcp) | Testes de segurança baseados em navegador | 39 ferramentas, Firefox, testes de injeção |
| [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) | Segurança em nuvem (AWS/Azure/GCP) | 38 ferramentas, 60+ verificações |
| [github-security-mcp](https://github.com/badchars/github-security-mcp) | Postura de segurança do GitHub | 39 ferramentas, 45 verificações |
| [cve-mcp](https://github.com/badchars/cve-mcp) | Inteligência de vulnerabilidades | 23 ferramentas, 5 fontes |
| [osint-mcp-server](https://github.com/badchars/osint-mcp-server) | OSINT e reconhecimento | 37 ferramentas, 12 fontes |
| **darknet-mcp-server** | **Dark web e inteligência de ameaças** | **66 ferramentas, 16 fontes** |

---

<p align="center">
<b>For authorized security testing and assessment only.</b><br>
Always ensure you have proper authorization before performing intelligence gathering on any target.
</p>

<p align="center">
  <a href="https://github.com/badchars/darknet-mcp-server/blob/main/LICENSE">MIT License</a> &bull; Built with Bun + TypeScript
</p>