</details>

<details>
<summary><b>Cursor / Windsurf / другие MCP-клиенты</b></summary>

Тот же формат JSON-конфигурации. Укажите в команде `npx darknet-mcp-server` или путь к вашей локальной установке.

</details>

### Настройка Tor (опционально, для доступа к .onion)

7 инструментов Tor (`tor_fetch_onion`, `tor_scrape_onion` и т. д.) требуют запущенного прокси Tor SOCKS5.```bash
# macOS
brew install tor && brew services start tor

# Linux
sudo apt install tor && sudo systemctl start tor

# Docker
docker run -d -p 9050:9050 dperson/torproxy

# Verify connectivity
npx darknet-mcp-server --check-tor

Вот и всё. Агент автоматически выполняет поиск утечек, поиск учётных данных, корреляцию угроз и многое другое.

---

## Что умеет ИИ

### Расследование утечек```
You: "Check if example.com has been in any data breaches"

Agent: -> breachList {domain: "example.com"}
       -> breachSearch {account: "[email protected]"}
       -> stealer_domain {domain: "example.com"}
       -> intelx_search {term: "example.com"}
       -> "example.com appears in 5 known breaches:
          - ExampleDB 2023: 4.2M records (emails, passwords, IPs)
          - Collection #1: credential stuffing list
          - Combolist 2024: 890K email:password pairs
          Stealer logs: 23 compromised machines with saved credentials
          for example.com found in Hudson Rock database.
          IntelligenceX: 47 results across paste sites and dark web."

### Разведка даркнета```
You: "Search for mentions of our company on .onion sites"

Agent: -> tor_search_onion {query: "AcmeCorp"}
       -> intelx_search {term: "acmecorp.com"}
       -> onion_lookup {address: "relevant-onion-address.onion"}
       -> "Dark web search results for AcmeCorp:
          Ahmia.fi: 3 .onion pages mention AcmeCorp
          - Forum post discussing AcmeCorp employee list (leak forum)
          - Marketplace listing for AcmeCorp database (unverified)
          - Blog post referencing AcmeCorp breach
          IntelligenceX: 12 results on paste sites
          Recommendation: investigate the forum post and marketplace
          listing for potential active data sales."

---

## Справочник инструментов (66 инструментов)

<details open>
<summary><b>Tor Network (7) &mdash; Без API-ключа (для инструментов .onion требуется демон Tor)</b></summary>

| Инструмент | Описание |
|------|-------------|
| `tor_status` | Проверить, запущен ли и доступен ли локальный демон Tor SOCKS5-прокси |
| `tor_fetch_onion` | Получить необработанный HTML с .onion URL через Tor SOCKS5-прокси (предотвращение утечки DNS через socks5h) |
| `tor_scrape_onion` | Получить и распарсить .onion сайт &mdash; возвращает структурированные данные: заголовок, ссылки, текст страницы |
| `tor_search_onion` | Искать .onion сайты с помощью поисковой системы Ahmia.fi |
| `tor_exit_nodes` | Получить текущие IP-адреса выходных узлов Tor из официального массового списка выходных узлов Tor Project |
| `tor_exit_check` | Проверить, является ли конкретный IP-адрес известным выходным узлом Tor |
| `tor_exit_details` | Получить подробную информацию о выходном узле Tor, включая отпечатки и временные метки публикации |

</details>

<details>
<summary><b>Ransomware Intelligence (9) &mdash; Без API-ключа</b></summary>

| Инструмент | Описание |
|------|-------------|
| `ransomwareRecent` | Получить самых последних жертв программ-вымогателей с ransomware.live |
| `ransomwareGroups` | Список всех известных групп программ-вымогателей, отслеживаемых ransomware.live |
| `ransomwareGroup` | Получить подробный профиль конкретной группы программ-вымогателей по названию |
| `ransomwareGroupVictims` | Получить всех жертв, заявленных конкретной группой программ-вымогателей |
| `ransomwareSearch` | Искать жертв программ-вымогателей по ключевому слову (название компании, домен и т. д.) |
| `ransomwareByCountry` | Получить жертв программ-вымогателей с фильтром по коду страны ISO 3166-1 alpha-2 |
| `ransomwareBySector` | Получить жертв программ-вымогателей с фильтром по сектору/отрасли (здравоохранение, финансы и т. д.) |
| `ransomlookGroups` | Список всех 582+ групп программ-вымогателей, отслеживаемых RansomLook |
| `ransomlookRecent` | Получить самые последние сообщения о программах-вымогателях и заявления о жертвах от RansomLook |

</details>

<details>
<summary><b>Breach Intelligence &mdash; HIBP (7) &mdash; Частично: некоторые инструменты бесплатны, для поиска по аккаунту требуется HIBP_API_KEY</b></summary>

| Инструмент | Описание |
|------|-------------|
| `breachList` | Список всех известных утечек данных из HaveIBeenPwned, опционально с фильтром по домену &mdash; бесплатно |
| `breachGet` | Получить подробности конкретной утечки данных по названию &mdash; бесплатно |
| `breachLatest` | Получить самую недавно добавленную утечку данных &mdash; бесплатно |
| `breachDataClasses` | Список всех классов данных (типов скомпрометированных данных), известных HIBP &mdash; бесплатно |
| `breachPassword` | Проверить, появлялся ли пароль в известных утечках (k-анонимность, отправляется только 5-символьный префикс SHA-1) &mdash; бесплатно |
| `breachSearch` | Искать по всем утечкам конкретный аккаунт (email/имя пользователя) &mdash; требует `HIBP_API_KEY` |
| `breachPastes` | Искать адрес электронной почты в публично опубликованных пастах &mdash; требует `HIBP_API_KEY` |

</details>

<details>
<summary><b>abuse.ch Suite (9) &mdash; Без API-ключа (ABUSECH_AUTH_KEY опционально для повышенного лимита)</b></summary>

| Инструмент | Описание |
|------|-------------|
| `threatfoxGetIocs` | Получить недавние IOC из ThreatFox, заявленные за последние N дней |
| `threatfoxSearch` | Искать IOC в ThreatFox по IP, домену, хешу или URL |
| `threatfoxTag` | Искать IOC в ThreatFox по тегу (например, Cobalt Strike, Emotet) |
| `threatfoxMalware` | Искать IOC в ThreatFox по семейству вредоносного ПО с использованием именования Malpedia |
| `urlhausLookup` | Проверить URL или хост в URLhaus на предмет распространения вредоносного ПО |
| `urlhausTag` | Искать записи URLhaus по тегу |
| `bazaarHash` | Найти образец вредоносного ПО в MalwareBazaar по хешу MD5, SHA1 или SHA256 |
| `bazaarRecent` | Получить самые недавно отправленные образцы вредоносного ПО из MalwareBazaar |
| `bazaarTag` | Искать в MalwareBazaar по тегу или имени сигнатуры YARA |

</details>

<details>
<summary><b>AlienVault OTX (5) &mdash; Без API-ключа (OTX_API_KEY опционально для повышенного лимита)</b></summary>

| Инструмент | Описание |
|------|-------------|
| `otx_ip` | Найти разведданные об угрозах для IP-адреса &mdash; информация о пульсах, репутация, страна, ASN |
| `otx_domain` | Найти разведданные об угрозах для домена &mdash; информация о пульсах, whois, репутация |
| `otx_hash` | Найти разведданные об угрозах для хеша файла (MD5, SHA1, SHA256) |
| `otx_cve` | Найти разведданные об угрозах для CVE &mdash; связанные пульсы и индикаторы |
| `otx_search_pulses` | Искать пульсы угроз OTX по ключевому слову |

</details>

<details>
<summary><b>AbuseIPDB (4) &mdash; Требуется ABUSEIPDB_API_KEY</b></summary>

| Инструмент | Описание |
|------|-------------|
| `abuseipdb_check` | Проверить IP-адрес на наличие сообщений о злоупотреблениях &mdash; оценка уверенности, ISP, страна, количество сообщений |
| `abuseipdb_reports` | Получить отдельные сообщения о злоупотреблениях для IP с подробными комментариями и категориями |
| `abuseipdb_blacklist` | Получить чёрный список AbuseIPDB наиболее часто упоминаемых вредоносных IP-адресов |
| `abuseipdb_check_block` | Проверить целый блок сети CIDR на наличие сообщений о злоупотреблениях |

</details>

<details>
<summary><b>GreyNoise Community (2) &mdash; Без API-ключа</b></summary>

| Инструмент | Описание |
|------|-------------|
| `greynoise_ip` | Найти IP в GreyNoise &mdash; классификация (безвредный/вредоносный/неизвестный), статус сканера |
| `greynoise_check` | Быстрая проверка: является ли этот IP известным сканером или известным безвредным сервисом? |

</details>

<details>
<summary><b>Pulsedive (3) &mdash; Без API-ключа (PULSEDIVE_API_KEY опционально для повышенного лимита)</b></summary>

| Инструмент | Описание |
|------|-------------|
| `pulsedive_indicator` | Найти индикатор (IP, домен, URL или хеш) &mdash; уровень риска, угрозы, фиды |
| `pulsedive_search` | Искать индикаторы Pulsedive по значению |
| `pulsedive_explore` | Исследовать связанные индикаторы с помощью расширенных запросов (связанные IOC с уровнями риска) |

</details>

<details>
<summary><b>Hudson Rock Stealer Logs (3) &mdash; Требуется HUDSONROCK_API_KEY</b></summary>

| Инструмент | Описание |
|------|-------------|
| `stealer_domain` | Искать записи в логах стилеров по домену &mdash; скомпрометированные машины, учётные данные, сведения о вредоносном ПО |
| `stealer_email` | Искать в логах стилеров по адресу электронной почты &mdash; скомпрометированные машины с этим email в учётных данных браузера |
| `stealer_ip` | Искать в логах стилеров по IP-адресу &mdash; скомпрометированные машины, исходящие с этого IP |

</details>

<details>
<summary><b>Vulners Exploits (3) &mdash; Без API-ключа (VULNERS_API_KEY опционально для поиска)</b></summary>

| Инструмент | Описание |
|------|-------------|
| `vulners_search` | Искать в базе данных уязвимостей Vulners с помощью запросов Lucene |
| `vulners_id` | Найти конкретную уязвимость или эксплойт по ID (CVE, EDB, GHSA) &mdash; бесплатно |
| `vulners_exploit` | Искать конкретно эксплойты (записи ExploitDB) |

</details>

<details>
<summary><b>Blockchain Intelligence (4) &mdash; Без API-ключа</b></summary>

| Инструмент | Описание |
|------|-------------|
| `btc_address` | Найти Bitcoin-адрес &mdash; баланс, количество транзакций, недавние транзакции |
| `btc_balance` | Получить баланс Bitcoin-адреса в сатоши (быстрая проверка без полной истории) |
| `btc_tx` | Получить подробную информацию о Bitcoin-транзакции по хешу &mdash; входы, выходы, комиссии, информация о блоке |
| `btc_abuse_check` | Проверить Bitcoin-адрес на наличие сообщений о злоупотреблениях на ChainAbuse &mdash; сообщения о мошенничестве с категориями |

</details>

<details>
<summary><b>Hybrid Analysis Malware (3) &mdash; Требуется HYBRID_API_KEY</b></summary>

| Инструмент | Описание |
|------|-------------|
| `malware_search` | Искать в песочнице Hybrid Analysis по хешу файла &mdash; вердикт, уровень обнаружения AV, детали анализа |
| `malware_overview` | Полный обзор анализа вредоносного ПО &mdash; техники MITRE ATT&CK, сетевые индикаторы, процессы |
| `malware_feed` | Получить последний фид детонации вредоносного ПО &mdash; недавно проанализированные образцы с вердиктами |

</details>

<details>
<summary><b>CIRCL Onion Lookup (1) &mdash; Без API-ключа</b></summary>

| Инструмент | Описание |
|------|-------------|
| `onion_lookup` | Найти метаданные для .onion адреса через проект CIRCL AIL &mdash; первое/последнее обнаружение, статус, теги, сертификаты, порты, BTC-адреса |

</details>

<details>
<summary><b>IntelligenceX (4) &mdash; Требуется INTELX_API_KEY</b></summary>

| Инструмент | Описание |
|------|-------------|
| `intelx_search` | Инициировать поиск в IntelligenceX по утечкам данных, контенту даркнета и другому |
| `intelx_search_results` | Получить результаты поиска IntelligenceX по ID |
| `intelx_phonebook` | Поиск по телефонной книге &mdash; найти email, домены, URL, связанные с термином |
| `intelx_phonebook_results` | Получить результаты поиска по телефонной книге по ID |

</details>

<details>
<summary><b>PhishTank (1) &mdash; Без API-ключа (PHISHTANK_API_KEY опционально для повышенного лимита)</b></summary>

| Инструмент | Описание |
|------|-------------|
| `phishing_check` | Проверить, является ли URL известным фишинговым сайтом через PhishTank |

</details>

<details>
<summary><b>Meta (1) &mdash; Без API-ключа</b></summary>

| Инструмент | Описание |
|------|-------------|
| `darknet_list_sources` | Список всех доступных источников данных со статусом конфигурации, статусом API-ключа и количеством инструментов |

</details>

---

### Использование CLI```bash
# List all available tools
npx darknet-mcp-server --list

# Check Tor SOCKS5 proxy connectivity
npx darknet-mcp-server --check-tor

# Run any tool directly
npx darknet-mcp-server --tool breachList '{"domain":"adobe.com"}'
npx darknet-mcp-server --tool ransomwareRecent '{}'
npx darknet-mcp-server --tool tor_search_onion '{"query":"marketplace"}'
npx darknet-mcp-server --tool btc_address '{"address":"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa"}'

# Tools requiring API keys
HIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{"account":"[email protected]"}'
HYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{"hash":"abc123..."}'

**Проектные решения:**

- **16 провайдеров, 1 сервер** — Каждый источник данных — независимый модуль. Агент выбирает, какие инструменты использовать, исходя из запроса.
- **Ограничители скорости для каждого провайдера** — Каждый источник данных имеет собственный экземпляр `RateLimiter`, откалиброванный под лимиты соответствующего API. Никаких общих узких мест.
- **TTL-кэширование** — Данные о программах-вымогателях (15 мин), списки утечек (10 мин), результаты abuse.ch (5 мин) кэшируются, чтобы избежать избыточных вызовов API во время многоинструментальных рабочих процессов.
- **Плавная деградация** — Отсутствующие API-ключи не приводят к сбою сервера. Инструменты возвращают информативные сообщения об ошибках: "Set HIBP_API_KEY to enable breach account search."
- **Предотвращение утечек DNS** — Инструменты Tor .onion используют протокол `socks5h://` для разрешения DNS через Tor, предотвращая утечки DNS к локальному резолверу.
- **4 зависимости** — `@modelcontextprotocol/sdk`, `zod`, `socks-proxy-agent` и `cheerio`. Весь HTTP-трафик в clearnet через нативный `fetch`. Весь трафик Tor через SOCKS5.

---

## Ограничения

- Поиск аккаунтов/вставок HIBP требует платного API-ключа ($3.50/месяц)
- IntelligenceX, AbuseIPDB, Hudson Rock и Hybrid Analysis требуют API-ключи для своих инструментов
- Инструменты Tor .onion требуют запущенного SOCKS5-прокси Tor (не входит в комплект)
- Бесплатный тариф abuse.ch имеет более низкие лимиты скорости без `ABUSECH_AUTH_KEY`
- Данные Ransomware.live и RansomLook зависят от частоты вышестоящего скрапинга
- Инструменты для блокчейна поддерживают только Bitcoin (без Ethereum/Monero)
- База данных PhishTank может отставать от фишинговых кампаний в реальном времени
- Протестировано на macOS / Linux (Windows не тестировался)

---

## Часть MCP Security Suite

| Проект | Домен | Инструменты |
|---|---|---|
| [hackbrowser-mcp](https://github.com/badchars/hackbrowser-mcp) | Тестирование безопасности в браузере | 39 инструментов, Firefox, тестирование инъекций |
| [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) | Облачная безопасность (AWS/Azure/GCP) | 38 инструментов, 60+ проверок |
| [github-security-mcp](https://github.com/badchars/github-security-mcp) | Безопасность GitHub | 39 инструментов, 45 проверок |
| [cve-mcp](https://github.com/badchars/cve-mcp) | Разведка уязвимостей | 23 инструмента, 5 источников |
| [osint-mcp-server](https://github.com/badchars/osint-mcp-server) | OSINT и разведка | 37 инструментов, 12 источников |
| **darknet-mcp-server** | **Даркнет и разведка угроз** | **66 инструментов, 16 источников** |

---

<p align="center">
<b>Только для авторизованного тестирования и оценки безопасности.</b><br>
Всегда убеждайтесь, что у вас есть надлежащая авторизация перед сбором разведданных о любой цели.
</p>

<p align="center">
  <a href="https://github.com/badchars/darknet-mcp-server/blob/main/LICENSE">MIT License</a> &bull; Built with Bun + TypeScript
</p>