android-security-mcp

Servidor MCP (Model Context Protocol) para auditoría de seguridad de apps Android, pensado como herramienta de aprendizaje de hacking ético y análisis de aplicaciones. Combina tres fuentes:

• ADB → inventario de apps, permisos, extracción de APK y desinstalación.

• VirusTotal → reputación de malware por hash contra 70+ motores antivirus.

• MobSF → análisis estático de vulnerabilidades (OWASP Mobile Top 10).

⚠️ Importante (alcance honesto): esto es un auditor, no un antivirus en tiempo real. Android aísla cada app en su sandbox, así que ninguna herramienta aquí "limpia" el dispositivo sola. El flujo es: extraer → analizar → recomendar. Las acciones destructivas (desinstalar) siempre pasan por confirmación humana. Úsalo solo sobre dispositivos y apps que controles o tengas autorización para auditar.

Arquitectura

android-security-mcp/
├── src/
│   ├── index.ts                 # entrada, servidor MCP + stdio
│   ├── config.ts                # carga de .env y guard de paquetes/confirmación
│   ├── schemas/
│   │   └── index.ts             # esquemas Zod centralizados (raw shapes)
│   ├── lib/
│   │   ├── exec.ts              # ejecución de comandos sin shell (anti-inyección)
│   │   ├── adb.ts               # wrapper de ADB
│   │   ├── hash.ts              # SHA-256 por streaming
│   │   ├── virustotal.ts        # cliente API VirusTotal v3
│   │   ├── mobsf.ts             # cliente REST de MobSF
│   │   └── result.ts            # helpers de respuesta MCP
│   └── tools/
│       ├── index.ts             # registerAllTools(server)
│       ├── deviceTools.ts       # inventario y permisos (lectura)
│       ├── extractTools.ts      # extracción de APK y hashing
│       ├── virustotalTools.ts   # reputación de malware
│       ├── mobsfTools.ts        # análisis de vulnerabilidades
│       ├── auditTools.ts        # flujo de auditoría consolidado
│       └── actionTools.ts       # acciones destructivas (con guard)
├── .env.example
├── tsconfig.json
└── package.json

Sigue el patrón modular registerXxxTools(server) con esquemas Zod centralizados y exactOptionalPropertyTypes: true.

Related MCP server: frida-mcp

Requisitos previos

1. Node.js ≥ 18.17 (usa fetch, FormData y Blob nativos).

2. platform-tools (adb) instalado y en el PATH, o ruta en ADB_PATH.

3. Dispositivo con Depuración USB activada y autorizada (adb devices debe verlo).

4. API key de VirusTotal (gratuita): https://www.virustotal.com/gui/my-apikey

5. MobSF corriendo en local con Docker:

docker pull opensecurity/mobile-security-framework-mobsf:latest
docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest
# usuario/clave por defecto: mobsf/mobsf — la API key aparece en la consola

Instalación

npm install
cp .env.example .env   # y rellena tus claves
npm run build

Para desarrollo con recarga: npm run dev.

Configuración (.env)

Registro en Claude Code

En tu configuración de MCP (Windows), apunta al build:

{
  "mcpServers": {
    "android-security": {
      "command": "node",
      "args": ["C:\\Users\\mstiv\\proyectos\\android-security-mcp\\dist\\index.js"],
      "env": {
        "ADB_PATH": "C:\\Users\\mstiv\\AppData\\Local\\Android\\Sdk\\platform-tools\\adb.exe",
        "VT_API_KEY": "tu_api_key",
        "MOBSF_API_KEY": "tu_api_key",
        "REQUIRE_CONFIRM": "true"
      }
    }
  }
}

Herramientas disponibles

Flujo típico de uso

1. adb_list_devices → confirma que el dispositivo está conectado.

2. adb_list_packages → ve qué apps de usuario hay instaladas.

3. audit_package { packageName: "com.ejemplo.sospechosa" } → informe consolidado.

4. Si el informe recomienda actuar: adb_uninstall_package { packageName, confirm: true }.

Notas de seguridad

• La ejecución de comandos usa execFile (sin shell) para evitar inyección.

• ALLOWED_PACKAGES_PREFIX limita el radio de acción a paquetes concretos.

• REQUIRE_CONFIRM=true evita que el agente desinstale apps por error o por un prompt injection.

• Términos de VirusTotal: la API pública no puede usarse como sustituto comercial de un antivirus. Esto es para auditoría/aprendizaje, no para distribuir como producto antivirus.

Próximos pasos sugeridos

• Persistir informes de auditoría en disco/JSON para comparar versiones de una misma app.

• Añadir reglas YARA propias sobre el APK extraído.

• Integrar mobsfscan para análisis de código fuente en tus propios proyectos.

Licencia

MIT