Conectar VirusTotal con Cursor (MCP): amenazas

💡 ¿Sin instalación? Usa cloud.anythingmcp.com directamente. Inicia sesión, pulsa Connectors → VirusTotal, pega tus credenciales, genera una MCP API key y listo. Sin Docker, sin git clone, sin servidor local.

VirusTotal + Cursor

Inteligencia de amenazas de la VirusTotal API v3: informes de archivos por hash, informes de URL, dominios e IP de unos 70 motores, búsqueda, relaciones entre indicadores, comportamiento en sandbox y MITRE ATT&CK, comentarios y votos de la comunidad, reanálisis y, cuando un admin lo activa, escaneo de URL.

Requisitos previos

Las instrucciones de configuración completas están incluidas en el conector (visibles en el store al seleccionarlo). Las variables de entorno requeridas:

VIRUSTOTAL_API_KEY

Paso 1 — Obtener credenciales

La configuración lleva unos 2 minutos. Necesitas una cuenta de VirusTotal; la clave de API de la comunidad es gratuita.

1. Regístrate gratis en VirusTotal Community en https://www.virustotal.com/gui/join-us y confirma el email.
2. Abre tu clave de API en https://www.virustotal.com/gui/my-apikey y pégala en VIRUSTOTAL_API_KEY. Tiene 64 caracteres hexadecimales en minúscula y se envía en la cabecera x-apikey.
3. Instala el conector y ejecuta virustotal_list_popular_threat_categories: una llamada ligera que confirma la clave.

Clave pública o Premium: una clave gratuita permite 4 peticiones por minuto y 500 al día, y los términos de VirusTotal prohíben usar la API pública en productos comerciales o flujos de trabajo empresariales. Las claves Premium no tienen esos límites y desbloquean virustotal_intelligence_search, más relaciones y más contexto. Las cuotas diarias se reinician a las 00:00 UTC. virustotal_get_api_usage con tu nombre de usuario de VirusTotal muestra el uso diario por endpoint de hasta 30 días.

Privacidad: cada indicador que consultas o envías pasa a formar parte del conjunto de datos de VirusTotal y es visible para la comunidad. No envíes nunca URL, dominios o hashes confidenciales o con datos personales, como una URL con un token, un enlace de restablecimiento de contraseña o un nombre de host interno.

Qué lee:

• Veredictos: virustotal_get_file_report (por SHA-256, SHA-1 o MD5, sin subir nada), virustotal_get_url_report, virustotal_get_domain_report y virustotal_get_ip_report, con las estadísticas de detección de unos 70 motores y listas de bloqueo de URL, el veredicto de cada motor, reputación, votos, etiquetas y, según el objeto, tipo y nombres del archivo, URL final y redirecciones, registros DNS, WHOIS, registrador, ASN y país.
• virustotal_search acepta un hash, una URL completa, un dominio, una IP o una etiqueta de comentario como #phishing. Con una URL devuelve su informe, la forma fácil cuando no tienes el id de la URL.
• Relaciones: virustotal_list_related_objects sigue una relación, por ejemplo los contacted_domains de un archivo, las resolutions o subdomains de un dominio, los communicating_files de una IP. virustotal_list_related_ids devuelve solo los ids y es mucho más ligero. virustotal_get_resolution lee una resolución DNS (id = la IP seguida del dominio, por ejemplo 8.8.8.8dns.google).
• Sandboxes: virustotal_get_file_behaviour_summary (procesos, archivos, claves de registro, mutex, tráfico DNS, IP y HTTP) y virustotal_get_file_mitre_attack (tácticas y técnicas de MITRE ATT&CK por sandbox).
• Comunidad: virustotal_list_comments y virustotal_list_votes sobre un objeto, virustotal_list_latest_comments en todo VirusTotal (filtro como tag:malware), virustotal_get_comment para uno solo.
• Solo Premium: virustotal_intelligence_search con modificadores de búsqueda como type:peexe positives:10+.

Qué escribe: virustotal_rescan pide un nuevo análisis de un archivo, URL, dominio o IP que VirusTotal ya conoce, y virustotal_get_analysis lee el resultado (consultando cada 15 a 60 segundos hasta que status sea completed). virustotal_add_comment publica un comentario público con tu cuenta (las palabras que empiezan por # se convierten en etiquetas) y virustotal_add_vote emite un voto público harmless o malicious.

Desactivadas al instalar: virustotal_scan_url y virustotal_delete_comment. Ninguna se puede deshacer: una URL enviada, con todo lo que contiene, queda compartida para siempre con la comunidad de VirusTotal, y un comentario borrado no vuelve. Un admin del workspace las activa cuando el equipo las necesita. Con virustotal_scan_url activa, una URL que VirusTotal no conoce (404) se puede enviar y su resultado se lee con virustotal_get_analysis.

Identificadores de URL: las herramientas de URL usan el id de la URL, que es la URL en base64url sin relleno (https://example.com/ se convierte en aHR0cHM6Ly9leGFtcGxlLmNvbS8) o el SHA-256 de la URL canónica. El data.id de un informe de URL es ese SHA-256; un id de análisis tiene la forma u-<sha256>-<timestamp>. Ante la duda, la IA usa virustotal_search con la URL.

Formatos de datos: las respuestas siguen JSON:API con data.id, data.type y data.attributes. last_analysis_stats cuenta los motores por veredicto (malicious, suspicious, harmless, undetected, timeout) y last_analysis_results lista la categoría y el resultado de cada motor. reputation es una puntuación de la comunidad, negativa es mala; total_votes cuenta los votos harmless y malicious. Las fechas son marcas de tiempo Unix en segundos (UTC). Pocas detecciones no prueban que algo sea seguro: la IA revisa también la fecha del análisis y las relaciones. Los informes de URL, dominios e IP omiten campos voluminosos como cabeceras HTTP, cookies, meta HTML y el certificado HTTPS completo; los certificados están disponibles con la relación historical_ssl_certificates.

Paginación: las herramientas de listado devuelven meta.cursor y links.next mientras haya más elementos; la IA pasa meta.cursor como cursor con el mismo limit y para cuando falta.

Errores frecuentes: 401 WrongCredentialsError o AuthenticationRequiredError significa una clave incorrecta o ausente (o un email de cuenta sin confirmar), 403 ForbiddenError un endpoint o relación solo Premium, 404 NotFoundError un objeto que VirusTotal no ha visto, 409 AlreadyExistsError un voto duplicado, 429 QuotaExceededError la cuota por minuto o diaria (espera o mejora el plan), 400 InvalidArgumentError un id mal formado.

El conector no sube archivos ni descarga muestras: los archivos se consultan por hash.

Paso 2 — Instalar el adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Paso 3 — Añadir el conector en Cursor

La URL de tu servidor: en AnythingMCP abre MCP Servers → el servidor donde está este conector y copia su URL (https://cloud.anythingmcp.com/mcp/…). Úsala donde esta guía muestra YOUR_SERVER_ID.

Cursor lee los servidores MCP de ~/.cursor/mcp.json. Añade esta entrada:

{
  "mcpServers": {
    "anythingmcp": {
      "url": "https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID",
      "headers": { "X-API-Key": "YOUR_MCP_API_KEY" }
    }
  }
}

1. Crea una clave de API MCP en AnythingMCP en MCP Servers → tu servidor → API keys y pégala en lugar de YOUR_MCP_API_KEY.
2. Guarda el archivo y reinicia Cursor.
3. Abre Cursor → Settings → MCP y comprueba que anythingmcp aparece en la lista y está conectado.
4. Empieza a chatear: el agente ya puede usar las herramientas de VirusTotal.

Herramientas disponibles

Ejemplos de prompts

• "¿El archivo con SHA-256 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f está marcado como malicioso? Muéstrame las estadísticas de detección y la etiqueta de la amenaza."
• "Revisa el dominio example-login-secure.com: ¿qué dicen los motores, cuándo se creó y a qué IP ha resuelto?"
• "¿Qué reputación tiene la IP 185.220.101.1, de quién es y qué archivos se han comunicado con ella?"
• "Muéstrame el comportamiento en sandbox y las técnicas de MITRE ATT&CK de este hash: 44d88612fea8a8f36de82e1278abb02f."
• "Lista los últimos comentarios de la comunidad con la etiqueta phishing y resume qué marcas suplantan."

FAQ

¿Cursor admite servidores MCP personalizados en el plan gratuito? Sí, MCP está disponible en los planes Hobby, Pro y Business.

Siguientes pasos

• Página del conector
• Conectar a Claude
• Conectar a ChatGPT
• Conectar a Gemini
• Conectar a Meta Muse
• Conectar a Microsoft Copilot