VirusTotal MCP Server: archivos, dominios e IP

💡 ¿Sin instalación? Usa cloud.anythingmcp.com directamente. Inicia sesión, pulsa Connectors → VirusTotal, pega tus credenciales, genera una MCP API key y listo. Sin Docker, sin git clone, sin servidor local.

VirusTotal

Inteligencia de amenazas de la VirusTotal API v3: informes de archivos por hash, informes de URL, dominios e IP de unos 70 motores, búsqueda, relaciones entre indicadores, comportamiento en sandbox y MITRE ATT&CK, comentarios y votos de la comunidad, reanálisis y, cuando un admin lo activa, escaneo de URL.

Configuración

La configuración lleva unos 2 minutos. Necesitas una cuenta de VirusTotal; la clave de API de la comunidad es gratuita.

1. Regístrate gratis en VirusTotal Community en https://www.virustotal.com/gui/join-us y confirma el email.
2. Abre tu clave de API en https://www.virustotal.com/gui/my-apikey y pégala en VIRUSTOTAL_API_KEY. Tiene 64 caracteres hexadecimales en minúscula y se envía en la cabecera x-apikey.
3. Instala el conector y ejecuta virustotal_list_popular_threat_categories: una llamada ligera que confirma la clave.

Clave pública o Premium: una clave gratuita permite 4 peticiones por minuto y 500 al día, y los términos de VirusTotal prohíben usar la API pública en productos comerciales o flujos de trabajo empresariales. Las claves Premium no tienen esos límites y desbloquean virustotal_intelligence_search, más relaciones y más contexto. Las cuotas diarias se reinician a las 00:00 UTC. virustotal_get_api_usage con tu nombre de usuario de VirusTotal muestra el uso diario por endpoint de hasta 30 días.

Privacidad: cada indicador que consultas o envías pasa a formar parte del conjunto de datos de VirusTotal y es visible para la comunidad. No envíes nunca URL, dominios o hashes confidenciales o con datos personales, como una URL con un token, un enlace de restablecimiento de contraseña o un nombre de host interno.

Qué lee:

• Veredictos: virustotal_get_file_report (por SHA-256, SHA-1 o MD5, sin subir nada), virustotal_get_url_report, virustotal_get_domain_report y virustotal_get_ip_report, con las estadísticas de detección de unos 70 motores y listas de bloqueo de URL, el veredicto de cada motor, reputación, votos, etiquetas y, según el objeto, tipo y nombres del archivo, URL final y redirecciones, registros DNS, WHOIS, registrador, ASN y país.
• virustotal_search acepta un hash, una URL completa, un dominio, una IP o una etiqueta de comentario como #phishing. Con una URL devuelve su informe, la forma fácil cuando no tienes el id de la URL.
• Relaciones: virustotal_list_related_objects sigue una relación, por ejemplo los contacted_domains de un archivo, las resolutions o subdomains de un dominio, los communicating_files de una IP. virustotal_list_related_ids devuelve solo los ids y es mucho más ligero. virustotal_get_resolution lee una resolución DNS (id = la IP seguida del dominio, por ejemplo 8.8.8.8dns.google).
• Sandboxes: virustotal_get_file_behaviour_summary (procesos, archivos, claves de registro, mutex, tráfico DNS, IP y HTTP) y virustotal_get_file_mitre_attack (tácticas y técnicas de MITRE ATT&CK por sandbox).
• Comunidad: virustotal_list_comments y virustotal_list_votes sobre un objeto, virustotal_list_latest_comments en todo VirusTotal (filtro como tag:malware), virustotal_get_comment para uno solo.
• Solo Premium: virustotal_intelligence_search con modificadores de búsqueda como type:peexe positives:10+.

Qué escribe: virustotal_rescan pide un nuevo análisis de un archivo, URL, dominio o IP que VirusTotal ya conoce, y virustotal_get_analysis lee el resultado (consultando cada 15 a 60 segundos hasta que status sea completed). virustotal_add_comment publica un comentario público con tu cuenta (las palabras que empiezan por # se convierten en etiquetas) y virustotal_add_vote emite un voto público harmless o malicious.

Desactivadas al instalar: virustotal_scan_url y virustotal_delete_comment. Ninguna se puede deshacer: una URL enviada, con todo lo que contiene, queda compartida para siempre con la comunidad de VirusTotal, y un comentario borrado no vuelve. Un admin del workspace las activa cuando el equipo las necesita. Con virustotal_scan_url activa, una URL que VirusTotal no conoce (404) se puede enviar y su resultado se lee con virustotal_get_analysis.

Identificadores de URL: las herramientas de URL usan el id de la URL, que es la URL en base64url sin relleno (https://example.com/ se convierte en aHR0cHM6Ly9leGFtcGxlLmNvbS8) o el SHA-256 de la URL canónica. El data.id de un informe de URL es ese SHA-256; un id de análisis tiene la forma u-<sha256>-<timestamp>. Ante la duda, la IA usa virustotal_search con la URL.

Formatos de datos: las respuestas siguen JSON:API con data.id, data.type y data.attributes. last_analysis_stats cuenta los motores por veredicto (malicious, suspicious, harmless, undetected, timeout) y last_analysis_results lista la categoría y el resultado de cada motor. reputation es una puntuación de la comunidad, negativa es mala; total_votes cuenta los votos harmless y malicious. Las fechas son marcas de tiempo Unix en segundos (UTC). Pocas detecciones no prueban que algo sea seguro: la IA revisa también la fecha del análisis y las relaciones. Los informes de URL, dominios e IP omiten campos voluminosos como cabeceras HTTP, cookies, meta HTML y el certificado HTTPS completo; los certificados están disponibles con la relación historical_ssl_certificates.

Paginación: las herramientas de listado devuelven meta.cursor y links.next mientras haya más elementos; la IA pasa meta.cursor como cursor con el mismo limit y para cuando falta.

Errores frecuentes: 401 WrongCredentialsError o AuthenticationRequiredError significa una clave incorrecta o ausente (o un email de cuenta sin confirmar), 403 ForbiddenError un endpoint o relación solo Premium, 404 NotFoundError un objeto que VirusTotal no ha visto, 409 AlreadyExistsError un voto duplicado, 429 QuotaExceededError la cuota por minuto o diaria (espera o mejora el plan), 400 InvalidArgumentError un id mal formado.

El conector no sube archivos ni descarga muestras: los archivos se consultan por hash.

Requisitos previos: VIRUSTOTAL_API_KEY

Instalar el conector localmente

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Abre http://localhost:3000/connectors/store, elige VirusTotal e introduce las variables listadas en los Requisitos previos.

Herramientas disponibles

Ejemplos de prompts

• "¿El archivo con SHA-256 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f está marcado como malicioso? Muéstrame las estadísticas de detección y la etiqueta de la amenaza."
• "Revisa el dominio example-login-secure.com: ¿qué dicen los motores, cuándo se creó y a qué IP ha resuelto?"
• "¿Qué reputación tiene la IP 185.220.101.1, de quién es y qué archivos se han comunicado con ella?"
• "Muéstrame el comportamiento en sandbox y las técnicas de MITRE ATT&CK de este hash: 44d88612fea8a8f36de82e1278abb02f."
• "Lista los últimos comentarios de la comunidad con la etiqueta phishing y resume qué marcas suplantan."

Siguientes pasos

• Conectar a Claude
• Conectar a ChatGPT