Ohey research

Ohey MCP サーバー

Ohey は Web サイトをスキャンし、注入されたマルウェアを検出します。対象には、ClickFix や偽のアップデートを装った誘導、スキマー、フィッシングキット、EtherHiding ローダー、それらを支える C2 サーバーや配布サーバーが含まれます。リモート MCP サーバーが 2 つあります（Streamable HTTP）。

サーバー	URL	サインイン
リサーチ	https://ohey.ca/mcp/research	不要
フィードと API	https://ohey.ca/mcp	API アクセス権のある Ohey アカウント

インストール

どちらもリモートの Streamable HTTP サーバーなので、ダウンロードは不要です。以下の例ではリサーチサーバーを追加します。フィードサーバーでは、名前を ohey、URL を https://ohey.ca/mcp に設定します。初回はクライアントによって ohey.ca が開かれ、サインインします。

どちらも MCP Registry に ca.ohey/research と ca.ohey/ohey として登録されています。

Claude

Web、デスクトップ、モバイルの場合：［設定］、［コネクター］、［カスタムコネクターを追加］の順に選択し、URL を貼り付けます。

Claude Code：

claude mcp add --transport http ohey-research https://ohey.ca/mcp/research

ChatGPT

カスタム MCP サーバーには開発者モードが必要です。OpenAI は一部のプランでこれを提供しており、設定ページ間で場所が変更されています。先に Business または Enterprise の管理者がカスタムコネクターを許可する必要がある場合があります。

1. ChatGPT の設定で開発者モードを有効にします。
2. カスタムコネクター（またはアプリ）を追加し、名前を付けて URL を貼り付けます。
3. リサーチサーバーでは認証を［認証なし］に、フィードサーバーでは［OAuth］に設定します。
4. 新しいチャットで、ツールメニューからコネクターをオンにします。

OpenAI Codex

codex mcp add ohey-research --url https://ohey.ca/mcp/research

フィードサーバーでは、--url https://ohey.ca/mcp を指定して追加し、codex mcp login ohey を実行してサインインします。または、~/.codex/config.toml に追加します。

[mcp_servers.ohey-research]
url = "https://ohey.ca/mcp/research"

Gemini CLI

gemini mcp add --transport http ohey-research https://ohey.ca/mcp/research

または、settings.json の mcpServers 内に追加します。

"ohey-research": { "httpUrl": "https://ohey.ca/mcp/research" }

フィードサーバーでは、CLI で /mcp auth ohey を実行してサインインします。

Cursor

~/.cursor/mcp.json またはプロジェクト内の .cursor/mcp.json に追加します。

{
  "mcpServers": {
    "ohey-research": { "url": "https://ohey.ca/mcp/research" }
  }
}

VS Code（GitHub Copilot）

code --add-mcp '{"name":"ohey-research","type":"http","url":"https://ohey.ca/mcp/research"}'

または、［MCP: Add Server］を実行し、HTTP を選択して URL を貼り付けます。JSON 形式の場合は、.vscode/mcp.json またはユーザーの mcp.json に追加します。

{
  "servers": {
    "ohey-research": { "type": "http", "url": "https://ohey.ca/mcp/research" }
  }
}

その他のクライアント

Streamable HTTP 経由のリモート MCP サーバーに対応しているクライアントであれば、URL をそのまま使用できます。多くのクライアントは url を含む mcpServers オブジェクトを読み込みます（一部ではフィールド名が serverUrl または httpUrl です）。ローカルの stdio サーバーしか実行できないクライアントでは、mcp-remote を介してどちらのサーバーにも接続できます。

{
  "mcpServers": {
    "ohey-research": { "command": "npx", "args": ["-y", "mcp-remote", "https://ohey.ca/mcp/research"] }
  }
}

リサーチサーバー

Ohey が ohey.ca/threats と ohey.ca/research で公開しているリサーチを、ツールとして利用できます。サインインは不要で、誰でも接続できます。

ツール	内容
list_threats	各手法のページ、概要、サイト数、関連するキットをすべて表示します。
get_threat	手法またはキットについて、月ごとに一致したサイト、再スキャン時にも感染が確認されたサイト数、WordPress と Joomla の割合、よく使われるプラグイン、同じサイトで確認されたキット、その EtherHiding コントラクト、ClickFix コマンドのホスト、関連記事を表示します。
list_research_articles	新しい順にリサーチ記事を表示します。
get_article	1 件の記事の概要、主要な事実（ハッシュ、活動期間、規模）、侵害の痕跡を Markdown 形式で表示します。
search_clickfix_commands	キットまたはホストで絞り込み、ClickFix の誘導コマンドが取得するホストと、それぞれの最新コマンドを無効化した形式で表示します。
search_etherhiding_contracts	キット、チェーン、宛先ホストで絞り込み、侵害されたサイトが次のステージを取得するコントラクトを表示します。
get_etherhiding_contract	1 件のコントラクトについて、時系列で宛先を表示します。
get_feed_stats	フィードの規模、先週の追加・削除件数、キャプチャアーカイブを表示します。

件数は Ohey のスキャンに基づいて毎日更新されます。どちらの検索ツールも、offset を指定すると limit 件の次からページを取得でき、sort: "firstSeen" を指定すると新しいものから表示できます。ホスト検索で該当が見つからない場合は、coverage に関する注記が返されます。トラッカーにはコントラクトの宛先とコマンドのホストのみが記録されるため、見つからなくても「追跡対象外」を意味し、「安全」を意味するわけではありません。ホストをフィード全体と照合するのは、フィードサーバーの役割です。

ホストとコマンドは、現在稼働中のマルウェアインフラです。無害化した形式（[.]、hxxp）で表示され、コマンドを含む結果には、閲覧者向けの notice が付いています。無害化を解除したり実行したりする場合は、必ず隔離されたリサーチ環境で行ってください。利用規約をご覧ください。

フィードおよび API サーバー

Ohey の API をツールとして利用できます。任意のホストの検索、フィードの検索、CVE の閲覧、URL のスキャンが可能です。Ohey アカウントでサインインするため、コピーする API キーはありません。API アクセス権付きのアカウントは、ohey.ca/contact から申請してください。

リサーチサーバーと同じ方法で接続し、URL に https://ohey.ca/mcp を指定してください（インストール）。サインインすると ohey.ca が開きます。そこで接続を承認すると、クライアントがアクセスできるようになります。クライアントはサーバーの OAuth メタデータから自身を登録するため、クライアント ID の設定は不要です。

ツール

ツール	内容
search_indicators	タグまたはファミリーで絞り込んだフィード内のホストと、その役割、ファミリー、タグ、登録理由を表示します。
get_host	ホストのフィードエントリー、最新のキャプチャで検出された脆弱なソフトウェア、キャプチャの概要、DNS レコードを表示します。
get_host_captures	スキャナーがホストを読み込んだ各時点について、日時、返された内容、一致した項目を表示します。
list_delisted	レビューによりフィードから除外または削除されたホストと、その理由および決定者を表示します。
get_vulnerability	1 件の CVE について、NVD、EPSS、KEV、GitHub、OSV のデータを表示します。
list_vulnerabilities	公開済みの CVE を順に表示するか、WordPress のプラグイン、テーマ、コアに関する CVE のみに絞って表示します。
start_scan	Ohey のスキャナーで URL を読み込み、検出内容を記録します。
get_scan	スキャン結果として、ページが悪意のあるものかどうか、一致した項目、仕込もうとしたコマンドやクリップボードへの書き込み、疑わしい C2 を表示します。

スキャンツールは、承認時に「Scan URLs」にチェックを入れた場合にのみ表示されます。スキャンはアカウントの利用枠に加算されます。

アクセスと取り消し

クライアントを承認すると、そのクライアント名の API キーが Ohey ポータルの「Account」に作成されます。ツールの呼び出しにはレート制限があり、他の API リクエストと同様に、そのキーの使用数に加算されます。キーを取り消すと、クライアントの接続が解除されます。

すべてのレスポンスフィールドを含む完全な API ドキュメントは、ohey.ca/docsで確認できます。

セキュリティ

セキュリティ上の問題は [email protected] まで報告してください。security.txtをご覧ください。