VirusTotal MCP Server: file, domini e IP

💡 Niente installazione? Vai direttamente su cloud.anythingmcp.com. Accedi, clicca Connectors → VirusTotal, inserisci le credenziali, genera una MCP API key e hai finito. Niente Docker, niente git clone, niente server locale.

VirusTotal

Threat intelligence dalla VirusTotal API v3: report di file per hash, report di URL, domini e IP da circa 70 motori, ricerca, relazioni tra indicatori, comportamento in sandbox e MITRE ATT&CK, commenti e voti della community, rescan e, quando un admin lo attiva, scansione di URL.

Setup

La configurazione richiede circa 2 minuti. Ti serve un account VirusTotal; la API key community è gratuita.

1. Iscriviti gratis alla VirusTotal Community su https://www.virustotal.com/gui/join-us e conferma l'email.
2. Apri la tua API key su https://www.virustotal.com/gui/my-apikey e incollala in VIRUSTOTAL_API_KEY. È composta da 64 caratteri esadecimali minuscoli e viene inviata nell'header x-apikey.
3. Installa il connettore ed esegui virustotal_list_popular_threat_categories: una chiamata leggera che conferma la key.

Key pubblica o Premium: una key gratuita consente 4 richieste al minuto e 500 al giorno, e i termini di VirusTotal vietano l'uso della API pubblica in prodotti commerciali o processi aziendali. Le key Premium non hanno questi limiti e sbloccano virustotal_intelligence_search, più relazioni e più contesto. Le quote giornaliere si azzerano alle 00:00 UTC. virustotal_get_api_usage con il tuo nome utente VirusTotal mostra l'uso giornaliero per endpoint fino a 30 giorni.

Privacy: ogni indicatore che cerchi o invii entra nel dataset di VirusTotal ed è visibile alla community. Non inviare mai URL, domini o hash riservati o con dati personali, come un URL con un token, un link di reset della password o un nome host interno.

Cosa legge:

• Verdetti: virustotal_get_file_report (per SHA-256, SHA-1 o MD5, senza upload), virustotal_get_url_report, virustotal_get_domain_report e virustotal_get_ip_report, con le statistiche di rilevamento di circa 70 motori e blocklist di URL, il verdetto di ogni motore, reputazione, voti, tag e, a seconda dell'oggetto, tipo e nomi del file, URL finale e redirect, record DNS, WHOIS, registrar, ASN e paese.
• virustotal_search accetta un hash, un URL completo, un dominio, un IP o un tag di commento come #phishing. Con un URL restituisce il report dell'URL, il modo più semplice se non hai l'id dell'URL.
• Relazioni: virustotal_list_related_objects ne segue una, ad esempio i contacted_domains di un file, le resolutions o i subdomains di un dominio, i communicating_files di un IP. virustotal_list_related_ids restituisce solo gli id ed è molto più leggero. virustotal_get_resolution legge una singola risoluzione DNS (id = l'IP seguito dal dominio, ad esempio 8.8.8.8dns.google).
• Sandbox: virustotal_get_file_behaviour_summary (processi, file, chiavi di registro, mutex, traffico DNS, IP e HTTP) e virustotal_get_file_mitre_attack (tattiche e tecniche MITRE ATT&CK per sandbox).
• Community: virustotal_list_comments e virustotal_list_votes su un oggetto, virustotal_list_latest_comments su tutto VirusTotal (filtro come tag:malware), virustotal_get_comment per un singolo commento.
• Solo Premium: virustotal_intelligence_search con modificatori di ricerca come type:peexe positives:10+.

Cosa scrive: virustotal_rescan chiede una nuova analisi di un file, URL, dominio o IP già noto a VirusTotal, e virustotal_get_analysis legge il risultato (interrogando ogni 15-60 secondi finché status è completed). virustotal_add_comment pubblica un commento pubblico con il tuo account (le parole che iniziano con # diventano tag) e virustotal_add_vote esprime un voto pubblico harmless o malicious.

Disattivati all'installazione: virustotal_scan_url e virustotal_delete_comment. Nessuno dei due si può annullare: un URL inviato, con tutto ciò che contiene, resta condiviso per sempre con la community di VirusTotal, e un commento cancellato non torna. Un admin del workspace li attiva quando il team ne ha bisogno. Con virustotal_scan_url attivo, un URL che VirusTotal non conosce (404) può essere inviato e il risultato letto con virustotal_get_analysis.

Id degli URL: i tool per gli URL usano l'id dell'URL, cioè l'URL in base64url senza padding (https://example.com/ diventa aHR0cHM6Ly9leGFtcGxlLmNvbS8) oppure lo SHA-256 dell'URL canonico. Il data.id di un report URL è quello SHA-256; un id di analisi ha la forma u-<sha256>-<timestamp>. Nel dubbio l'AI usa virustotal_search con l'URL.

Formati dei dati: le risposte seguono JSON:API con data.id, data.type e data.attributes. last_analysis_stats conta i motori per verdetto (malicious, suspicious, harmless, undetected, timeout), last_analysis_results elenca categoria e risultato di ciascun motore. reputation è un punteggio della community, negativo è male; total_votes conta i voti harmless e malicious. Le date sono timestamp Unix in secondi (UTC). Pochi rilevamenti non provano che qualcosa sia sicuro: l'AI controlla anche la data dell'analisi e le relazioni. I report di URL, domini e IP omettono i campi più pesanti come header HTTP, cookie, meta HTML e il certificato HTTPS completo; i certificati sono disponibili tramite la relazione historical_ssl_certificates.

Paginazione: i tool di elenco restituiscono meta.cursor e links.next finché ci sono altri elementi; l'AI passa meta.cursor come cursor con lo stesso limit e si ferma quando manca.

Errori comuni: 401 WrongCredentialsError o AuthenticationRequiredError indica una key errata o mancante (o un'email dell'account non confermata), 403 ForbiddenError un endpoint o una relazione solo Premium, 404 NotFoundError un oggetto che VirusTotal non ha mai visto, 409 AlreadyExistsError un voto duplicato, 429 QuotaExceededError la quota al minuto o giornaliera (attendi o passa a un piano superiore), 400 InvalidArgumentError un id malformato.

Il connettore non carica file e non scarica campioni: i file si cercano per hash.

Prerequisiti: VIRUSTOTAL_API_KEY

Installazione locale del connettore

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Apri http://localhost:3000/connectors/store, scegli VirusTotal e inserisci le variabili elencate nei Prerequisiti.

Tool disponibili

Esempi di prompt

• "Il file con SHA-256 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f è segnalato come malevolo? Mostrami le statistiche di rilevamento e l'etichetta della minaccia."
• "Controlla il dominio example-login-secure.com: cosa dicono i motori, quando è stato creato e su quali IP si è risolto?"
• "Che reputazione ha l'IP 185.220.101.1, a chi appartiene e quali file hanno comunicato con lui?"
• "Mostrami il comportamento in sandbox e le tecniche MITRE ATT&CK di questo hash: 44d88612fea8a8f36de82e1278abb02f."
• "Elenca gli ultimi commenti della community con il tag phishing e riassumi quali marchi imitano."

Prossimi passi

• Collegare a Claude
• Collegare a ChatGPT