Rozbito platformę Kratos. Obsługiwała 15 tys. kampanii phishingowych miesięcznie

• Z Kratosa miało korzystać ponad 1800 przestępczych klientów, którzy prowadzili około 15 tys. kampanii phishingowych miesięcznie.
• Platforma umożliwiała tworzenie fałszywych stron logowania do usług Microsoftu i wykradanie adresów e-mail oraz haseł.
• Przejęta infrastruktura może dostarczyć dowodów pozwalających zidentyfikować osoby korzystające z przestępczej usługi.

Kratos był jedną z najczęściej wykorzystywanych na świecie platform działających w modelu phishing-as-a-service. 

Zamiast samodzielnie tworzyć strony i infrastrukturę potrzebną do ataku, cyberprzestępcy mogli wykupić dostęp do gotowego zestawu narzędzi. 

Według śledczych ofiary kampanii znajdowały się w ponad 30 państwach, przede wszystkim w Europie i Stanach Zjednoczonych. Międzynarodowa operacja doprowadziła do zatrzymania administratora oraz całkowitego wyłączenia kluczowych elementów usługi.

Ponad 200 serwerów wyłączonych

Operację przeprowadziły Prokuratura Generalna we Frankfurcie, działająca przy niej Centrala ds. Zwalczania Cyberprzestępczości ZIT oraz niemiecki Federalny Urząd Kryminalny (BKA). W działaniach uczestniczyły również amerykańskie organy ścigania i policja w Indonezji.

Służby wyłączyły ponad 200 serwerów tworzących techniczne zaplecze Kratosa. Według BKA doprowadziło to do całkowitego unieruchomienia platformy i uniemożliwiło jej klientom dalsze prowadzenie kampanii za pośrednictwem przejętej infrastruktury.

Phishing oferowany jako usługa

Kratos działał w modelu phishing-as-a-service, określanym skrótem PhaaS. Przypominał legalną usługę abonamentową, ale jego klientami byli cyberprzestępcy.

Po opłaceniu dostępu użytkownicy otrzymywali gotowy zestaw narzędzi umożliwiających przygotowanie i prowadzenie kampanii phishingowych. Nie musieli samodzielnie budować stron internetowych ani rozwijać potrzebnej infrastruktury.

Dzięki temu ataki mogły prowadzić również osoby o mniejszych umiejętnościach technicznych. Dostęp do platformy sprzedawano przez stronę internetową oraz sklep działający w komunikatorze Telegram. Akceptowano między innymi płatności w kryptowalutach.

Fałszywe strony logowania Microsoftu

Jedną z najważniejszych funkcji Kratosa było tworzenie i obsługiwanie stron podszywających się pod formularze uwierzytelniania Microsoftu.

Ofiara otrzymywała wiadomość zawierającą link do fałszywej strony, która wyglądem przypominała prawdziwy panel logowania. Po wpisaniu adresu e-mail i hasła informacje trafiały do atakujących.

Pozyskane dane pozwalały cyberprzestępcom przejmować konta Microsoft. Szczególnie niebezpieczne mogło być uzyskanie dostępu do kont wykorzystywanych w firmach i instytucjach, ponieważ znajdują się na nich wiadomości, dokumenty oraz informacje o współpracownikach i kontrahentach.

Około 15 tys. kampanii miesięcznie

Według ustaleń niemieckich służb dostęp do Kratosa wykupiło ponad 1800 przestępczych klientów. Za pomocą platformy mieli oni prowadzić około 15 tys. kampanii phishingowych miesięcznie.

Każda z nich mogła docierać do kilku tysięcy odbiorców. Od końca 2024 r. liczba osób poszkodowanych przez działania związane z Kratosem mogła sięgać setek tysięcy.

Grupa odpowiedzialna za Kratosa miała od 2024 r. uzyskać ponad 300 tys. euro, przede wszystkim z opłat za dostęp do platformy. Pieniądze pochodziły przede wszystkim z opłat abonamentowych wnoszonych przez użytkowników przestępczej usługi.

Przejęte konta służyły do kolejnych przestępstw

Kradzież danych logowania była zazwyczaj dopiero pierwszym etapem ataku. Po przejęciu konta przestępcy mogli uzyskać dostęp do korespondencji ofiary, zapisanych dokumentów oraz listy kontaktów.

Takie informacje mogą następnie służyć do przygotowania kolejnych wiadomości phishingowych, podszywania się pod właściciela konta albo wyłudzania pieniędzy od jego współpracowników.

Przejęte konto firmowe może zostać wykorzystane również w oszustwach typu Business Email Compromise. Atakujący podszywa się wówczas pod pracownika, przełożonego lub kontrahenta i próbuje nakłonić odbiorcę do wykonania przelewu albo przekazania poufnych danych.

BKA potwierdził, że dane zdobywane przy użyciu Kratosa były wykorzystywane do popełniania kolejnych przestępstw.

Twórca zatrzymany w Indonezji

Domniemany twórca Kratosa, który pełnił również funkcję administratora technicznego, został zatrzymany przez miejscową policję w Indonezji.

Zatrzymanie osoby odpowiedzialnej za rozwój platformy połączono z wyłączeniem jej głównej infrastruktury. Według niemieckich służb prowadzenie dotychczasowych kampanii phishingowych za pomocą Kratosa nie jest już możliwe.

BKA określił operację jako istotny sukces w zwalczaniu profesjonalnych platform udostępniających cyberprzestępczość w formie usługi.

Klienci Kratosa mogą zostać zidentyfikowani

Zakończenie działania platformy nie oznacza końca śledztwa. Przejęte serwery mogą zawierać dane dotyczące administratorów, klientów, płatności oraz przeprowadzonych kampanii.

Analiza materiału cyfrowego może pomóc służbom w ustaleniu tożsamości osób, które kupowały dostęp do Kratosa i wykorzystywały go do atakowania konkretnych użytkowników lub organizacji.

Organy ścigania mogą również pozyskać informacje o domenach używanych w kampaniach, adresach kryptowalutowych oraz kontach komunikacyjnych należących do klientów platformy.