Autoridades de Alemania, Estados Unidos e Indonesia desmantelaron Kratos, un avanzado kit de phishing que permitía robar credenciales y evadir la autenticación de dos pasos. La operación afectó a cientos de miles de víctimas en más de 30 países, generando ingresos criminales superiores a los 300,000 euros. Aunque se desactivaron más de 200 servidores, el código del kit sigue en manos de aproximadamente 1,800 clientes.

Las fuerzas del orden alemanas y estadounidenses han desmantelado la infraestructura central de Kratos, descrito por los investigadores alemanes como uno de los kits de phishing criminal más utilizados del mundo, y las autoridades indonesias detuvieron al hombre que, según dicen, lo desarrolló y operó.

En un anuncio conjunto el lunes enlace, la unidad de delitos cibernéticos de la fiscalía pública de Frankfurt (ZIT) y la Oficina Federal de Policía Criminal de Alemania (BKA) informaron que desconectaron más de 200 servidores. Los investigadores estiman que aproximadamente 1.800 clientes de pago utilizaron Kratos para ejecutar unas 15.000 campañas de phishing al mes.

Kratos recolectaba más que simples contraseñas. El kit estaba diseñado para robar la cookie de sesión junto con el inicio de sesión, y esa cookie es suficiente para saltarse la autenticación de dos factores y entrar en la cuenta como si fueras el usuario, señaló la BKA.

ANY.RUN, que realizó la ingeniería inversa del kit enlace, descubrió que los operadores podían elegir entre dos modos: una página PHP simple que solo recolecta credenciales, o un proxy inverso de Node.js diseñado para retransmitir el inicio de sesión a Microsoft en tiempo real y capturar la sesión resultante. Este segundo modo es la técnica de "adversario en el medio" (AiTM) que ha hecho que el MFA ordinario sea un respaldo mucho más débil de lo que parece.

La operación funcionaba como una franquicia, con clientes que la BKA llamó franquiciados. Pagaban en criptomonedas y se registraban a través de un sitio web dedicado y una tienda de Telegram para gestionar sus cuentas y organizar campañas, permitiendo que incluso actores con poca habilidad pudieran dirigir un kit AiTM funcional hacia un objetivo.

Las autoridades sitúan el número de víctimas desde finales de 2024 en cientos de miles, distribuidas en más de 30 países y concentradas en Europa y Estados Unidos. Estiman que los operadores ganaron más de 300.000 euros desde 2024 y que cada campaña podía afectar a varios miles de destinatarios.

Kratos ya estaba siendo rastreado. Microsoft Threat Intelligence enlace identifica el mismo kit como SneakyLog, una plataforma de phishing como servicio que, según afirma, ha ejecutado robos de credenciales y 2FA contra Microsoft 365 desde principios de 2025, y detectó una campaña en acto.



El 10 de febrero, los operadores enviaron correos electrónicos con temática fiscal a unas 100 organizaciones, principalmente en los EE. UU., abarcando sectores de fabricación, comercio minorista y salud; cada uno llevaba un documento W-2 con un código QR personalizado que llevaba a un inicio de sesión falso de Microsoft 365.

Los inicios de sesión de Microsoft robados rara vez son el final del camino. La BKA afirmó que las credenciales robadas podrían usarse para más phishing, venderse a otros criminales o convertirse en un punto de apoyo dentro de las empresas al propagarse por sus entornos de Microsoft 365, el camino familiar desde una bandeja de entrada phishada hasta el compromiso de correo electrónico empresarial.

Carsten Meywirth, jefe de la división de delitos cibernéticos de la BKA, dijo que la operación demuestra "que incluso las infraestructuras de phishing altamente profesionales pueden combatirse eficazmente". Benjamin Krause, de la ZIT, lo planteó como prueba del enfoque "disruptivo" de la oficina de desmantelar directamente un servicio criminal en lugar de limitarse a acusar a las personas que están detrás.

Microsoft está notificando a los usuarios afectados por las campañas. Para cualquiera que reciba la notificación, la solución depende de cómo fueron atacados. Si el kit solo recolectó credenciales, un restablecimiento de contraseña y una verificación de MFA son suficientes. Si el modo de proxy inverso robó una sesión activa, esa sesión sobrevive al restablecimiento, por lo que debe ser revocada y las cuentas de alto valor deben pasarse a un inicio de sesión resistente al phishing.

Los defensores que busquen exposición pueden fijarse en la señal del kit: ANY.RUN encontró que sus páginas de inicio de sesión casi siempre cargan los activos emparejados barr.svg y lg.svg, y luego envían las credenciales robadas a endpoints como next.php o save.php. Califica este emparejamiento con un 90% de precisión y casi cero falsos positivos.

Por ahora, los servidores están fuera de línea y, según la BKA, las campañas impulsadas por Kratos no pueden continuar. Lo que el desmantelamiento no tocó son los aproximadamente 1.800 clientes o el código del kit que ya poseen. ANY.RUN encontró a Kratos ejecutándose en dominios desechables, sitios de WordPress comprometidos y hosting compartido con otros kits de adversario en el medio, el tipo de configuración que reaparece bajo un nuevo nombre una vez que los servidores caen.

Fuente:
THN