Каталог MCP
BurtTheCoder/mcp-virustotal

BurtTheCoder/mcp-virustotal

MCP сервер для VirusTotal: проверяет безопасность URL, файлов и IP-адресов (включая домены), автоматически собирая связанные данные. Включает поиск по корпусу, сводки поведения и коллекции угроз. Помогает аналитикам ИБ быстро исследовать угрозы через Claude Desktop.

README

11 инструментов

Версии

Установить сервер

VirusTotal MCP Server

A Model Context Protocol (MCP) server for querying the VirusTotal API. This server provides comprehensive security analysis tools with automatic relationship data fetching. It integrates seamlessly with MCP-compatible applications like Claude Desktop.

Quick Start (Recommended)

Claude Code

claude mcp add --transport stdio --env VIRUSTOTAL_API_KEY=your-key virustotal -- npx -y @burtthecoder/mcp-virustotal

Codex CLI

codex mcp add virustotal --env VIRUSTOTAL_API_KEY=your-key -- npx -y @burtthecoder/mcp-virustotal

Gemini CLI

gemini mcp add -e VIRUSTOTAL_API_KEY=your-key virustotal npx -y @burtthecoder/mcp-virustotal

Installing via Smithery

To install VirusTotal Server for Claude Desktop automatically via Smithery:

npx -y @smithery/cli install @burtthecoder/mcp-virustotal --client claude

Installing Manually

Install the server globally via npm:

npm install -g @burtthecoder/mcp-virustotal

Add to your Claude Desktop configuration file:

{
  "mcpServers": {
    "virustotal": {
      "command": "mcp-virustotal",
      "env": {
        "VIRUSTOTAL_API_KEY": "your-virustotal-api-key"
      }
    }
  }
}

Инструменты были проиндексированы: 09.09.2026

get_collection

Получает коллекцию VirusTotal по идентификатору. Коллекции — это угрозы, семьи вредоносных программ, кампании, разведданные и подобранные наборы IOC. На них часто ссылаются из связей related_threat_actors и collections других инструментов. Опционально включает связи (files, urls, domains, ip_addresses, references, threat_actors, related_collections, related_references, comments, owner, autogenerated_graphs), чтобы получить входящие в коллекцию IOC в том же вызове.

Параметры

idstringобязательный
Collection ID (e.g. a threat-actor, malware family, campaign, or report identifier returned from a relationship lookup)
relationshipsenum[]
Optional list of relationships to include in the response

get_domain_relationship

Запрашивает определённый тип отношений для домена с поддержкой пагинации. Выбирает из 24 типов отношений, включая поддомены, разрешения, SSL-сертификаты, историю WHOIS и угрозы. Полезен для детального исследования конкретных типов отношений.

Параметры

cursorstring
domainstringобязательный
Domain name to analyze
limitnumber
relationshipenumобязательный
Type of relationship to query

get_domain_report

Получает комплексный отчёт по анализу домена, включающий DNS-записи, WHOIS-данные и ключевые связи (SSL-сертификаты, поддомены, исторические данные). Опционально можно указать, какие именно связи включить в отчёт. Возвращает и базовый анализ, и данные о связях.

Параметры

domainstringобязательный
Domain name to analyze
relationshipsenum[]
Optional array of relationships to include in the report

get_file_behaviour_summary

Получает сводку поведения песочницы для файла (MD5/SHA-1/SHA-256), объединённую по всем песочницам, которые его анализировали. Возвращает процессы, файлы, реестр, сетевую активность, техники MITRE ATT&CK, срабатывания IDS и сигнатуры в одном представлении: это гораздо полезнее, чем просматривать отдельные отчёты о поведении.

Параметры

hashstringобязательный
MD5, SHA-1 or SHA-256 hash of the file

get_file_relationship

Запрашивает определённый тип связи для файла с поддержкой пагинации. Выбирает из 40 типов связей, включая поведение, сетевые подключения, сброшенные файлы, встроенный контент, цепочки выполнения и субъекты угроз. Полезен для детального исследования конкретных типов связей.

Параметры

cursorstring
hashstringобязательный
MD5, SHA-1 or SHA-256 hash of the file
limitnumber
relationshipenumобязательный
Type of relationship to query

get_file_report

Получает полный отчет анализа файла по его хешу (MD5/SHA-1/SHA-256). Включает результаты обнаружения, свойства файла и ключевые взаимосвязи (поведение, сброшенные файлы, сетевые подключения, встроенное содержимое, субъекты угроз). Возвращает как базовый анализ, так и автоматически полученные данные о взаимосвязях.

Параметры

hashstringобязательный
MD5, SHA-1 or SHA-256 hash of the file

get_ip_relationship

Запрашивает определенный тип связи для IP-адреса с поддержкой пагинации. Выберите из 15 типов связей, включая взаимодействующие файлы, исторические SSL-сертификаты, записи WHOIS, разрешения и субъекты угроз. Полезен для детального исследования конкретных типов связей.

Параметры

cursorstring
ipanyобязательный
IP address to analyze
limitnumber
relationshipenumобязательный
Type of relationship to query

get_ip_report

Получает подробный отчёт об анализе IP-адреса, включающий геолокацию, данные о репутации и ключевые связи (взаимодействующие файлы, исторические сертификаты/WHOIS, разрешения). Возвращает как базовый анализ, так и автоматически полученные данные о связях.

Параметры

ipanyобязательный
IP address to analyze

get_url_relationship

Запрашивает определённый тип отношений для URL с поддержкой пагинации. Выбирает из 22 типов отношений, включая обменивающиеся файлы, контактировавшие домены/IP-адреса, загруженные файлы, перенаправления, рефереры, субъекты угроз и коллекции. Полезен для пролистывания полного списка, когда сводка в get_url_report не даёт всей картины.

Параметры

cursorstring
limitnumber
relationshipenumобязательный
Type of relationship to query
urlstringобязательный
The URL to get relationships for

get_url_report

Получает комплексный отчет анализа URL, включающий результаты сканирования безопасности и ключевые связи (взаимодействующие файлы, запрошенные домены/IP-адреса, скачанные файлы, перенаправления, угрозы). Возвращает кэшированный отчет VirusTotal, если он доступен, или отправляет URL на сканирование и ждет результатов.

Параметры

urlstringобязательный
The URL to analyze

search_vt

Ищет в корпусе VirusTotal файлы, URL, домены, IP-адреса или комментарии, соответствующие запросу. Принимает простые IOC (хеш, URL, домен, IP), произвольный текст для поиска по комментариям или модификаторы поиска в стиле VTI, например "type:peexe size:90kb+ tag:signed positives:5+". Разбивает результаты на страницы через курсор.

Параметры

cursorstring
limitnumber
querystringобязательный
Search query. Accepts file hashes, URLs, domains, IPs, comments, or VTI-style search modifiers (e.g. "type:peexe size:90kb+ tag:signed")

Github Сайт сервера

Конфиг для установки сервера

{
  "command": "npx",
  "args": [
    "-y",
    "@burtthecoder/mcp-virustotal"
  ],
  "env": {
    "VIRUSTOTAL_API_KEY": "your-key"
  }
}

Нужен npx

Сервер запускается через npx
Без него ничего работать не будет.

Как установить npx

FAQ

Для чего этот сервер?

Этот MCP-сервер даёт ИИ-ассистентам прямой доступ к VirusTotal. Вместо того чтобы вручную копировать хеши или ссылки в браузер, достаточно попросить ассистента проверить подозрительный объект. Он вернёт структурированный отчёт с результатами антивирусных движков, связанными доменами, IP и индикаторами угроз. Вся разведка по угрозам — прямо в диалоге.

Что он умеет?

Работает с VirusTotal: анализирует URL, файлы, IP-адреса и домены, получает подробные отчёты с детектами, геолокацией, DNS и WHOIS. Запрашивает связи сущностей: коммуницирующие файлы, домены, сертификаты, сабдомены, с пагинацией. Ищет в корпусе VirusTotal по хэшам, URL, IP, доменам и комментариям. Достаёт коллекции угроз: APT-группы, малварь-семейства, кампании. Собирает сводки песочниц по поведению файлов: процессы, файлы, сеть.