** 클라우드 맬웨어 샌드박스의 의심스러운 파일과 URL을 삭제하고, Claude에서 정상적인 verdicts, IOCs 및 MITRE ATT&CK 기법을 다시 끌어냅니다.**

[!수신] ** 공인 보안 연구 및 방어적인 사용 만. ** 이 서버는 파일과 URL을 third-party cloud sandboxes로 제출합니다. 무료/복사 계층 (tria.ge, abuse.ch, Hybrid Analysis) 제출 및 결과는 public 및 non-deletable일 수 있습니다. 기밀, 개인 또는 독점 데이터를 제출하지 마십시오. 이 저장소는 ** 라이브 맬웨어 샘플**이 포함되어 있습니다. 각 공급자의 서비스 약관 및 현지 법률에 따라 책임집니다. 안전, 법적 및 책임있는 사용.

문제

하나의 의심스러운 샘플은 4 개의 브라우저 탭을 지우는 것을 의미합니다 : 샌드 박스에 제출, 대기, verdict를 복사, C2 위협 인텔 데이터베이스로 피벗, VirusTotal에 해시를보고, 그 후에 ATT&CK에 손지도 행동. 모든 보고서에는 다른 스키마가 있으며, 원시 JSON은 수백 개의 킬로바이트입니다.

솔루션

9 backends 뒤에 **20 도구 ** 단일 정상화 된 보고서 스키마.

malware-sandbox-mcp

Detonate suspicious files and URLs in cloud malware sandboxes — and pull back normalized verdicts, IOCs and MITRE ATT&CK techniques — directly from Claude.

[!WARNING] For authorized security research and defensive use only. This server submits files and URLs to third-party cloud sandboxes; on free/community tiers (tria.ge, abuse.ch, Hybrid Analysis) submissions and results may be public and non-deletable. Do not submit confidential, personal, or proprietary data. This repository contains no live malware samples. You are responsible for complying with each provider’s Terms of Service and your local laws. See Safety, legal & responsible use.

The problem

Triaging one suspicious sample means juggling four browser tabs: submit to a sandbox, wait, copy the verdict, pivot the C2 into a threat-intel database, look the hash up on VirusTotal, then hand-map behaviours to ATT&CK. Every report has a different schema, and the raw JSON is hundreds of kilobytes — far too large to paste into an LLM.

The solution

One MCP server that wraps 9 backends behind 20 tools with a single normalized report schema. Claude submits a sample, polls asynchronously, and gets back a compact (~4K token) report: verdict, threat score, malware family, top signatures, extracted IOCs, and ATT&CK techniques enriched with tactic names and links — plus tools to retrieve artifacts (dropped files, PCAP, screenshots), enrich IOCs across six intel sources, pivot to related samples, compare verdicts across sandboxes, and export an ATT&CK Navigator layer.

Detonation takes 2–10 minutes, but Claude Desktop enforces a hardcoded ~60s MCP tool timeout. This server therefore uses an async submit → poll pattern: submit_sample returns a task_id in seconds, and each get_report(task_id) call performs exactly one status poll — no tool call ever blocks waiting for the sandbox.

Why this tool

• 9 backends, 20 tools — detonation, artifacts, enrichment, pivoting, comparison, ATT&CK export.