Las agencias policiales alemanas y estadounidenses destruyeron la infraestructura central de Kratos, que los investigadores alemanes describieron como uno de los kits de phishing criminal más utilizados en el mundo, y las autoridades indonesias arrestaron al hombre que supuestamente lo desarrolló y ejecutó.
La División de Delitos Cibernéticos de la Fiscalía de Frankfurt (ZIT) y la Oficina Federal de Policía Criminal (BKA) de Alemania anunciaron el lunes en un comunicado conjunto que habían desconectado más de 200 servidores. Los investigadores estiman que alrededor de 1.800 clientes de pago utilizaban Kratos para ejecutar unas 15.000 campañas de phishing al mes.
Kratos no se limitó a recopilar contraseñas. El kit está diseñado para robar cookies de sesión junto con información de inicio de sesión, que según BKA es suficiente para pasar la autenticación de dos factores y acceder a una cuenta como usuario.
ANY.RUN, que realizó ingeniería inversa en este kit, descubrió que los operadores pueden elegir entre dos modos. Ya sea una página PHP simple que solo recopila credenciales o un proxy inverso de Node.js diseñado para transmitir inicios de sesión a Microsoft en tiempo real y capturar la sesión resultante. El segundo modo es una técnica adversaria de intermediario que hace que el MFA regular sea un respaldo mucho más débil de lo que parece.
La operación se llevó a cabo como una franquicia y BKA llamaba a sus clientes franquiciados. Pagaron en criptomonedas, se registraron y administraron sus cuentas a través de un sitio web exclusivo y una tienda de Telegram, y organizaron sus campañas, permitiendo que incluso los atacantes poco calificados apuntaran a sus objetivos con kits AiTM que funcionaran.
Las autoridades estiman que el número de víctimas para finales de 2024 podría llegar a cientos de miles, repartidas en más de 30 países y concentradas en Europa y Estados Unidos. Estiman que a partir de 2024, los operadores obtendrán más de 300.000 euros en ingresos y cada campaña afectará potencialmente a miles de destinatarios.
Kratos ya estaba siendo rastreado. Microsoft Threat Intelligence dice que ha identificado el mismo kit que SneakyLog, una plataforma de phishing como servicio, que ha estado realizando robo de credenciales y 2FA contra Microsoft 365 desde al menos principios de 2025, y que ha detectado una campaña en el acto.
El 10 de febrero, la operadora envió un correo electrónico con temas fiscales a unas 100 organizaciones, principalmente en las industrias manufacturera, minorista y de atención médica de EE. UU. Cada organización contenía un documento W-2 que contenía un código QR específico del destinatario que conducía a un inicio de sesión falso en Microsoft 365.
Es muy poco probable que le roben su inicio de sesión de Microsoft. BKA dice que las credenciales robadas pueden usarse para más phishing, venderse a otros delincuentes o distribuirse en entornos de Microsoft 365, dándoles un punto de apoyo dentro de la empresa. Este es un camino familiar desde una única bandeja de entrada de phishing hasta un correo electrónico empresarial comprometido.
Carsten Mayworth, jefe de la división de delitos cibernéticos de BKA, afirmó que la operación «demuestra que incluso una infraestructura de phishing altamente especializada puede contrarrestarse eficazmente». Benjamin Kraus, de ZIT, afirmó que el caso era prueba del enfoque «perturbador» de la agencia no sólo para procesar, sino también para desmantelar completamente, a quienes están detrás de las organizaciones criminales.
Microsoft está notificando a los usuarios atrapados en la campaña. Para todos los que Microsoft notifica, la solución depende de cómo fueron atacados. Si el kit solo recopiló credenciales, los restablecimientos de contraseña y las comprobaciones de MFA lo cubren. Si una sesión en vivo se interrumpe debido al modo de proxy inverso, esa sesión persiste después de un reinicio, por lo que las cuentas de alto valor deben trasladarse a un inicio de sesión resistente al phishing para revocar la sesión.
Los defensores que buscan exposición pueden buscar información en el kit. ANY.RUN descubrió que su página de inicio de sesión casi siempre carga el par de activos barr.svg y lg.svg y envía las credenciales robadas a puntos finales como next.php y save.php. Se estima que este emparejamiento tiene una tasa de recuperación del 90% y casi cero falsos positivos.
En este momento, los servidores están fuera de línea y BKA dice que las campañas impulsadas por Kratos no pueden continuar. Aproximadamente 1.800 clientes o códigos de kit que ya tenían no se vieron afectados por esta eliminación. ANY.RUN encontró que Kratos se ejecutaba en dominios desechables, sitios de WordPress comprometidos y alojamiento compartido con otros kits de atacantes intermediarios. Esta configuración reaparecerá con un nuevo nombre si el servidor deja de funcionar.
Source link
