VirusTotal MCP mit Claude verbinden

💡 Keine Installation? Nutze cloud.anythingmcp.com direkt. Einloggen, Connectors → VirusTotal klicken, Zugangsdaten einfügen, MCP-API-Key erzeugen, fertig. Kein Docker, kein git clone, kein lokaler Server.

VirusTotal + Claude

Threat Intelligence aus der VirusTotal API v3: Datei-Reports per Hash, URL-, Domain- und IP-Reports von rund 70 Engines, Suche, Beziehungen zwischen Indikatoren, Sandbox-Verhalten und MITRE ATT&CK, Community-Kommentare und -Votes, Rescans und, sobald ein Admin es freischaltet, URL-Scans.

Voraussetzungen

Die vollständige Setup-Anleitung ist in den Connector eingebaut (im Store sichtbar, wenn du den Connector auswählst). Benötigte Umgebungsvariablen für diesen Connector:

VIRUSTOTAL_API_KEY

Schritt 1 — Zugangsdaten holen

Die Einrichtung dauert etwa 2 Minuten. Du brauchst ein VirusTotal-Konto; der Community-API-Key ist kostenlos.

1. Registriere dich kostenlos bei der VirusTotal Community unter https://www.virustotal.com/gui/join-us und bestätige die E-Mail-Adresse.
2. Öffne deinen API-Key unter https://www.virustotal.com/gui/my-apikey und trage ihn in VIRUSTOTAL_API_KEY ein. Er besteht aus 64 kleingeschriebenen Hexadezimalzeichen und wird im Header x-apikey gesendet.
3. Installiere den Connector und führe virustotal_list_popular_threat_categories aus: ein günstiger Aufruf, der den Key bestätigt.

Public- oder Premium-Key: Ein kostenloser Key erlaubt 4 Anfragen pro Minute und 500 pro Tag, und die Nutzungsbedingungen von VirusTotal verbieten die Public API in kommerziellen Produkten oder geschäftlichen Abläufen. Premium-Keys haben diese Grenzen nicht und schalten virustotal_intelligence_search, mehr Beziehungen und mehr Kontext frei. Die Tageskontingente werden um 00:00 UTC zurückgesetzt. virustotal_get_api_usage mit deinem VirusTotal-Benutzernamen zeigt die tägliche Nutzung pro Endpunkt für bis zu 30 Tage.

Datenschutz: Jeder Indikator, den du abfragst oder einreichst, wird Teil des VirusTotal-Datenbestands und ist für die Community sichtbar. Schick nie vertrauliche URLs, Domains oder Hashes oder solche mit personenbezogenen Daten, etwa eine URL mit Token, einen Passwort-Reset-Link oder einen internen Hostnamen.

Was er liest:

• Bewertungen: virustotal_get_file_report (per SHA-256, SHA-1 oder MD5, ohne Upload), virustotal_get_url_report, virustotal_get_domain_report und virustotal_get_ip_report, mit den Erkennungszahlen von rund 70 Engines und URL-Blocklisten, dem Urteil jeder Engine, Reputation, Votes, Tags und je nach Objekt Dateityp und Dateinamen, finaler URL und Weiterleitungen, DNS-Einträgen, WHOIS, Registrar, ASN und Land.
• virustotal_search nimmt einen Hash, eine vollständige URL, eine Domain, eine IP oder ein Kommentar-Tag wie #phishing. Mit einer URL liefert es den URL-Report, der einfache Weg, wenn du die URL-ID nicht hast.
• Beziehungen: virustotal_list_related_objects folgt einer Beziehung, etwa den contacted_domains einer Datei, den resolutions oder subdomains einer Domain oder den communicating_files einer IP. virustotal_list_related_ids liefert nur die IDs und ist viel kleiner. virustotal_get_resolution liest eine einzelne DNS-Auflösung (ID = die IP direkt gefolgt von der Domain, etwa 8.8.8.8dns.google).
• Sandboxes: virustotal_get_file_behaviour_summary (Prozesse, Dateien, Registry-Schlüssel, Mutexe, DNS-, IP- und HTTP-Verkehr) und virustotal_get_file_mitre_attack (MITRE-ATT&CK-Taktiken und -Techniken pro Sandbox).
• Community: virustotal_list_comments und virustotal_list_votes zu einem Objekt, virustotal_list_latest_comments über ganz VirusTotal (Filter wie tag:malware), virustotal_get_comment für einen einzelnen Kommentar.
• Nur Premium: virustotal_intelligence_search mit Suchmodifikatoren wie type:peexe positives:10+.

Was er schreibt: virustotal_rescan fordert eine neue Analyse einer Datei, URL, Domain oder IP an, die VirusTotal schon kennt, und virustotal_get_analysis liest das Ergebnis (alle 15 bis 60 Sekunden abfragen, bis status completed ist). virustotal_add_comment veröffentlicht einen öffentlichen Kommentar unter deinem Konto (Wörter mit # werden zu Tags), virustotal_add_vote gibt eine öffentliche Stimme harmless oder malicious ab.

Bei der Installation deaktiviert: virustotal_scan_url und virustotal_delete_comment. Beides lässt sich nicht rückgängig machen: Eine eingereichte URL wird samt ihrem Inhalt dauerhaft mit der VirusTotal-Community geteilt, und ein gelöschter Kommentar ist weg. Ein Workspace-Admin schaltet sie ein, wenn das Team sie braucht. Ist virustotal_scan_url aktiv, kann eine URL, die VirusTotal noch nicht kennt (404), eingereicht und ihr Ergebnis mit virustotal_get_analysis gelesen werden.

URL-IDs: URL-Tools nehmen die URL-ID, also die URL in base64url ohne Padding (https://example.com/ wird zu aHR0cHM6Ly9leGFtcGxlLmNvbS8) oder den SHA-256 der kanonischen URL. Die data.id eines URL-Reports ist dieser SHA-256; eine Analyse-ID sieht aus wie u-<sha256>-<timestamp>. Im Zweifel nutzt die KI virustotal_search mit der URL.

Datenformate: Antworten folgen JSON:API mit data.id, data.type und data.attributes. last_analysis_stats zählt die Engines pro Urteil (malicious, suspicious, harmless, undetected, timeout), last_analysis_results listet Kategorie und Ergebnis jeder Engine. reputation ist ein Community-Wert, negativ ist schlecht; total_votes zählt harmless- und malicious-Votes. Datumsangaben sind Unix-Zeitstempel in Sekunden (UTC). Wenige Erkennungen sind kein Beweis, dass etwas sicher ist: Die KI prüft auch das Analysedatum und die Beziehungen. URL-, Domain- und IP-Reports lassen umfangreiche Felder weg, etwa HTTP-Header, Cookies, HTML-Meta und das vollständige HTTPS-Zertifikat; Zertifikate gibt es über die Beziehung historical_ssl_certificates.

Blättern: Listen-Tools liefern meta.cursor und links.next, solange es weitere Einträge gibt; die KI übergibt meta.cursor als cursor mit demselben limit und hört auf, wenn er fehlt.

Häufige Fehler: 401 WrongCredentialsError oder AuthenticationRequiredError bedeutet einen falschen oder fehlenden Key (oder eine unbestätigte Konto-E-Mail), 403 ForbiddenError einen Premium-Endpunkt oder eine Premium-Beziehung, 404 NotFoundError ein Objekt, das VirusTotal nicht kennt, 409 AlreadyExistsError eine doppelte Stimme, 429 QuotaExceededError das Minuten- oder Tageskontingent (warten oder upgraden), 400 InvalidArgumentError eine fehlerhafte ID.

Der Connector lädt keine Dateien hoch und keine Samples herunter: Dateien prüfst du per Hash.

Schritt 2 — Adapter installieren

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Schritt 3 — Connector in Claude hinzufügen

Deine Server-URL: Öffne in AnythingMCP MCP Servers → den Server, auf dem dieser Connector liegt, und kopiere seine URL (https://cloud.anythingmcp.com/mcp/…). Setze sie überall ein, wo diese Anleitung YOUR_SERVER_ID zeigt.

Empfohlener Weg: funktioniert auf claude.ai web ohne Anfassen einer Konfigurationsdatei.

1. Öffne in Claude Customize → Connectors.
2. Klicke auf + und dann auf Add custom connector.
3. Gib einen Namen ein, z. B. VirusTotal, und die Remote-MCP-Server-URL https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID, dann klicke auf Add.
4. Klicke auf Connect und melde dich bei AnythingMCP an (OAuth), um den Zugriff zu erlauben.

Alle unten gelisteten Tools erscheinen in deinem Chat: Leg los mit Prompts.

Verfügbare Tools

Beispiel-Prompts

• „Ist die Datei mit SHA-256 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f als bösartig markiert? Zeig mir die Erkennungszahlen und das Threat-Label.“
• „Prüf die Domain example-login-secure.com: Was sagen die Engines, wann wurde sie angelegt und auf welche IPs hat sie aufgelöst?“
• „Welche Reputation hat die IP 185.220.101.1, wem gehört sie und welche Dateien haben mit ihr kommuniziert?“
• „Zeig mir das Sandbox-Verhalten und die MITRE-ATT&CK-Techniken zu diesem Hash: 44d88612fea8a8f36de82e1278abb02f.“
• „Liste die neuesten Community-Kommentare mit dem Tag phishing auf und fass zusammen, welche Marken sie imitieren.“

FAQ

Funktioniert es mit Claude Code genauso wie mit Claude Desktop? Ja, beide auf https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID zeigen lassen.

Nächste Schritte

• Connector-Startseite
• Mit ChatGPT verbinden
• Mit Cursor verbinden
• Mit Gemini verbinden
• Mit Meta Muse verbinden
• Mit Microsoft Copilot verbinden