** Детонировать подозрительные файлы и URL-адреса в песочницах облачных вредоносных программ - и отозвать нормализованные вердикты, МОК и методы MITRE ATT & CK - непосредственно от Клода.

[!Предупреждение] ** Только для исследований безопасности и оборонительного использования. ** Этот сервер отправляет файлы и URL-адреса в ** сторонние облачные песочницы **; на уровнях free/community (tria.ge, abuse.ch, Hybrid Analysis) представления и результаты могут быть ** общедоступными и не удаляемыми **. Не отправляйте конфиденциальные, личные или личные данные. Этот репозиторий содержит ** никаких живых образцов вредоносных программ **. Вы несете ответственность за соблюдение Условий обслуживания каждого поставщика и ваших местных законов. Безопасность, законное и ответственное использование.

##Проблема

Проверка одного подозрительного образца означает жонглирование четырьмя вкладками браузера: отправьте в песочницу, подождите, скопируйте вердикт, поверните C2 в базу данных с информацией об угрозах, посмотрите хэш на VirusTotal, а затем на ATT & CK. Каждый отчет имеет разную схему, а сырой JSON составляет сотни килобайт — слишком большой, чтобы вставить в LLM.

##Решение

Один MCP-сервер, который заворачивает 9 бэкэндов позади 20 инструментов с единой стандартизированной схемой отчета.

malware-sandbox-mcp

Detonate suspicious files and URLs in cloud malware sandboxes — and pull back normalized verdicts, IOCs and MITRE ATT&CK techniques — directly from Claude.

[!WARNING] For authorized security research and defensive use only. This server submits files and URLs to third-party cloud sandboxes; on free/community tiers (tria.ge, abuse.ch, Hybrid Analysis) submissions and results may be public and non-deletable. Do not submit confidential, personal, or proprietary data. This repository contains no live malware samples. You are responsible for complying with each provider’s Terms of Service and your local laws. See Safety, legal & responsible use.

The problem

Triaging one suspicious sample means juggling four browser tabs: submit to a sandbox, wait, copy the verdict, pivot the C2 into a threat-intel database, look the hash up on VirusTotal, then hand-map behaviours to ATT&CK. Every report has a different schema, and the raw JSON is hundreds of kilobytes — far too large to paste into an LLM.

The solution

One MCP server that wraps 9 backends behind 20 tools with a single normalized report schema. Claude submits a sample, polls asynchronously, and gets back a compact (~4K token) report: verdict, threat score, malware family, top signatures, extracted IOCs, and ATT&CK techniques enriched with tactic names and links — plus tools to retrieve artifacts (dropped files, PCAP, screenshots), enrich IOCs across six intel sources, pivot to related samples, compare verdicts across sandboxes, and export an ATT&CK Navigator layer.

Detonation takes 2–10 minutes, but Claude Desktop enforces a hardcoded ~60s MCP tool timeout. This server therefore uses an async submit → poll pattern: submit_sample returns a task_id in seconds, and each get_report(task_id) call performs exactly one status poll — no tool call ever blocks waiting for the sandbox.

Why this tool

• 9 backends, 20 tools — detonation, artifacts, enrichment, pivoting, comparison, ATT&CK export.