クラウドマルウェアのサンドボックスに疑わしいファイルとURLをデトネーションし、正規化の頂点、IOC、MITRE ATT&CK技術を直接Claudeから引き戻します。

[!警告] 公認の保証調査および防御的な使用だけのため。 このサーバーは、ファイルとURLをサードパーティのクラウドサンドボックスに送信します。 無料の/コミュニティ層(tria.ge、虐待.ch、ハイブリッド分析)の投稿と結果は、publicおよび非削除可能である場合があります。 機密、個人、または独自のデータを送信しないでください。 このリポジトリには、noライブマルウェアのサンプルが含まれています。 お客様は、各プロバイダーの利用規約およびお客様の現地の法令を遵守します。 安全、法的及び責任ある使用を見て下さい。

問題

1つの疑わしいサンプルを試すことは、4つのブラウザタブをジャグリングすることを意味します。サンドボックスに送信し、待ちます。頂点をコピーし、C2を脅威インテルデータベースにピボットし、VirusTotalでハッシュを調べ、その後、ATT&CKにハンドマップの動作を確認します。 すべてのレポートには異なるスキーマがあり、生の JSON は数百キロバイトです。LLM に貼り付けるのははるかに大きすぎます。

ソリューション

**9 バックエンド ** を 1 つの MCP サーバーで 20 ツール を 1 つの正規のレポートスキーマでラップします.

malware-sandbox-mcp

Detonate suspicious files and URLs in cloud malware sandboxes — and pull back normalized verdicts, IOCs and MITRE ATT&CK techniques — directly from Claude.

[!WARNING] For authorized security research and defensive use only. This server submits files and URLs to third-party cloud sandboxes; on free/community tiers (tria.ge, abuse.ch, Hybrid Analysis) submissions and results may be public and non-deletable. Do not submit confidential, personal, or proprietary data. This repository contains no live malware samples. You are responsible for complying with each provider’s Terms of Service and your local laws. See Safety, legal & responsible use.

The problem

Triaging one suspicious sample means juggling four browser tabs: submit to a sandbox, wait, copy the verdict, pivot the C2 into a threat-intel database, look the hash up on VirusTotal, then hand-map behaviours to ATT&CK. Every report has a different schema, and the raw JSON is hundreds of kilobytes — far too large to paste into an LLM.

The solution

One MCP server that wraps 9 backends behind 20 tools with a single normalized report schema. Claude submits a sample, polls asynchronously, and gets back a compact (~4K token) report: verdict, threat score, malware family, top signatures, extracted IOCs, and ATT&CK techniques enriched with tactic names and links — plus tools to retrieve artifacts (dropped files, PCAP, screenshots), enrich IOCs across six intel sources, pivot to related samples, compare verdicts across sandboxes, and export an ATT&CK Navigator layer.

Detonation takes 2–10 minutes, but Claude Desktop enforces a hardcoded ~60s MCP tool timeout. This server therefore uses an async submit → poll pattern: submit_sample returns a task_id in seconds, and each get_report(task_id) call performs exactly one status poll — no tool call ever blocks waiting for the sandbox.

Why this tool

• 9 backends, 20 tools — detonation, artifacts, enrichment, pivoting, comparison, ATT&CK export.