VirusTotal MCP-сервер: файлы, домены и IP

💡 Без установки? Используйте cloud.anythingmcp.com напрямую. Войдите, нажмите Connectors → VirusTotal, вставьте учётные данные, создайте MCP API key, и готово. Без Docker, без git clone, без локального сервера.

VirusTotal

Разведка угроз из VirusTotal API v3: отчёты по файлам по хешу, отчёты по URL, доменам и IP примерно от 70 движков, поиск, связи между индикаторами, поведение в песочнице и MITRE ATT&CK, комментарии и голоса сообщества, повторные анализы и, после включения администратором, сканирование URL.

Настройка

Настройка занимает около 2 минут. Нужен аккаунт VirusTotal; API-ключ сообщества бесплатный.

1. Бесплатно зарегистрируйтесь в VirusTotal Community на https://www.virustotal.com/gui/join-us и подтвердите email.
2. Откройте свой API-ключ на https://www.virustotal.com/gui/my-apikey и вставьте его в VIRUSTOTAL_API_KEY. Он состоит из 64 строчных шестнадцатеричных символов и передаётся в заголовке x-apikey.
3. Установите коннектор и запустите virustotal_list_popular_threat_categories: лёгкий вызов, который подтверждает ключ.

Публичный или Premium-ключ: бесплатный ключ даёт 4 запроса в минуту и 500 в день, а условия VirusTotal запрещают использовать публичный API в коммерческих продуктах и рабочих процессах компаний. У Premium-ключей таких ограничений нет, и они открывают virustotal_intelligence_search, больше связей и больше контекста. Дневные квоты обнуляются в 00:00 UTC. virustotal_get_api_usage с вашим именем пользователя VirusTotal показывает дневное использование по эндпоинтам до 30 дней.

Конфиденциальность: каждый индикатор, который вы проверяете или отправляете, попадает в набор данных VirusTotal и становится виден сообществу. Никогда не отправляйте конфиденциальные URL, домены или хеши и те, что содержат персональные данные, например URL с токеном, ссылку для сброса пароля или внутреннее имя хоста.

Что он читает:

• Вердикты: virustotal_get_file_report (по SHA-256, SHA-1 или MD5, без загрузки), virustotal_get_url_report, virustotal_get_domain_report и virustotal_get_ip_report: статистика обнаружений примерно 70 движков и блок-листов URL, вердикт каждого движка, репутация, голоса, теги и, в зависимости от объекта, тип и имена файла, конечный URL и редиректы, DNS-записи, WHOIS, регистратор, ASN и страна.
• virustotal_search принимает хеш, полный URL, домен, IP или тег комментария, например #phishing. С URL он возвращает отчёт по этому URL, это самый простой путь, если id URL неизвестен.
• Связи: virustotal_list_related_objects проходит по связи, например contacted_domains файла, resolutions или subdomains домена, communicating_files IP. virustotal_list_related_ids возвращает только id и намного компактнее. virustotal_get_resolution читает одно DNS-разрешение (id = IP, сразу за которым идёт домен, например 8.8.8.8dns.google).
• Песочницы: virustotal_get_file_behaviour_summary (процессы, файлы, ключи реестра, мьютексы, трафик DNS, IP и HTTP) и virustotal_get_file_mitre_attack (тактики и техники MITRE ATT&CK по каждой песочнице).
• Сообщество: virustotal_list_comments и virustotal_list_votes по одному объекту, virustotal_list_latest_comments по всему VirusTotal (фильтр вроде tag:malware), virustotal_get_comment для одного комментария.
• Только Premium: virustotal_intelligence_search с модификаторами поиска, например type:peexe positives:10+.

Что он записывает: virustotal_rescan запрашивает новый анализ файла, URL, домена или IP, уже известного VirusTotal, а virustotal_get_analysis читает результат (опрос каждые 15-60 секунд, пока status не станет completed). virustotal_add_comment публикует публичный комментарий от вашего аккаунта (слова с # становятся тегами), virustotal_add_vote отдаёт публичный голос harmless или malicious.

Отключены при установке: virustotal_scan_url и virustotal_delete_comment. Оба действия необратимы: отправленный URL со всем его содержимым навсегда становится доступен сообществу VirusTotal, а удалённый комментарий не вернуть. Администратор рабочего пространства включает их, когда они нужны команде. Если virustotal_scan_url включён, URL, который VirusTotal ещё не видел (404), можно отправить и прочитать результат через virustotal_get_analysis.

Идентификаторы URL: инструменты для URL принимают id URL, то есть URL в base64url без дополнения (https://example.com/ превращается в aHR0cHM6Ly9leGFtcGxlLmNvbS8) или SHA-256 канонического URL. data.id отчёта по URL и есть этот SHA-256; id анализа выглядит как u-<sha256>-<timestamp>. В сомнительных случаях ИИ использует virustotal_search с самим URL.

Форматы данных: ответы следуют JSON:API с data.id, data.type и data.attributes. last_analysis_stats считает движки по вердиктам (malicious, suspicious, harmless, undetected, timeout), last_analysis_results перечисляет категорию и результат каждого движка. reputation является оценкой сообщества, отрицательная плохо; total_votes считает голоса harmless и malicious. Даты указаны как Unix-время в секундах (UTC). Малое число обнаружений не доказывает, что объект безопасен: ИИ проверяет также дату анализа и связи. В отчётах по URL, доменам и IP опущены громоздкие поля, например HTTP-заголовки, cookies, HTML meta и полный HTTPS-сертификат; сертификаты доступны через связь historical_ssl_certificates.

Постраничный вывод: инструменты списков возвращают meta.cursor и links.next, пока есть ещё элементы; ИИ передаёт meta.cursor как cursor с тем же limit и останавливается, когда его нет.

Частые ошибки: 401 WrongCredentialsError или AuthenticationRequiredError означает неверный или отсутствующий ключ (или неподтверждённый email аккаунта), 403 ForbiddenError эндпоинт или связь только для Premium, 404 NotFoundError объект, который VirusTotal не видел, 409 AlreadyExistsError повторный голос, 429 QuotaExceededError минутная или дневная квота (подождите или перейдите на другой тариф), 400 InvalidArgumentError неправильно сформированный id.

Коннектор не загружает файлы и не скачивает образцы: файлы проверяются по хешу.

Предварительные требования: VIRUSTOTAL_API_KEY

Локальная установка коннектора

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Откройте http://localhost:3000/connectors/store, выберите VirusTotal и введите переменные, перечисленные в Предварительных требованиях.

Доступные инструменты

Примеры запросов

• «Отмечен ли файл с SHA-256 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f как вредоносный? Покажи статистику обнаружений и метку угрозы.»
• «Проверь домен example-login-secure.com: что говорят движки, когда он создан и в какие IP разрешался?»
• «Какая репутация у IP 185.220.101.1, кому он принадлежит и какие файлы с ним связывались?»
• «Покажи поведение в песочнице и техники MITRE ATT&CK для этого хеша: 44d88612fea8a8f36de82e1278abb02f.»
• «Выведи последние комментарии сообщества с тегом phishing и кратко опиши, под какие бренды они маскируются.»

Следующие шаги

• Подключить к Claude
• Подключить к ChatGPT