FRANKFURT AM MAIN / LONDON (IT BOLTWISE) – Ermittler haben die zentrale Infrastruktur des Kratos-Phishingkits vom Netz genommen und mehr als 200 Server offline geschaltet. Die Täter konnten dabei Session-Cookies abgreifen und damit an der Zwei-Faktor-Absicherung vorbei in Microsoft-365-Konten gelangen. Laut Behörden nutzten rund 1.800 zahlende Kunden das System für Tausende Kampagnen pro Monat. Entscheidend ist nun, wie betroffene Nutzer und Unternehmen kompromittierte Sitzungen erkennen und entwerten.
Die Schlagzeile wirkt wie ein klassischer Infrastruktur-Fall, die technischen Details dahinter sind jedoch deutlich anspruchsvoller: In Deutschland haben die Generalstaatsanwaltschaft Frankfurt über ihre Cybercrime-Einheit und das Bundeskriminalamt (BKA) nach eigenen Angaben die Kernserver eines Kratos genannten Phishingkits stillgelegt. Insgesamt wurden dabei mehr als 200 Server offline geschaltet; zugleich nennen die Ermittler eine Größenordnung, die für Sicherheitsverantwortliche sofort nachbringt: Schätzungsweise 1.800 zahlende Kunden nutzten das Kit, um etwa 15.000 Phishingkampagnen pro Monat zu betreiben. Das Muster entspricht dem, was man aus Phishing-as-a-Service-Modellen kennt, aber die konkrete Angriffstechnik ist besonders relevant, weil sie nicht nur Anmeldeinformationen abgreift, sondern die Sitzung selbst zum Einfallstor macht.
Im Zentrum des Angriffs steht der Session-Cookie. Anders als bei reinen Credential-Stealern reicht es dem Kratos-Setup laut BKA nicht, nur Passwörter zu erbeuten, denn der Session-Token erlaubt den Angreifern den direkten Einstieg in das Konto „als der Benutzer“. Damit wird aus der sonst robusten Hürde „MFA aktiv“ ein Zeitfensterproblem: Wenn das Token gültig ist, kann ein Angreifer sich wie ein bereits authentifizierter User verhalten, ohne die Zweitfaktorprüfung erneut auszulösen. Genau dieses Prinzip wird häufig unter „Adversary-in-the-Middle“ (AiTM) zusammengefasst, weil der Angreifer den Authentifizierungsfluss zwischen Browser und Zielsystem so umleitet, dass am Ende eine echte, vom Ziel validierte Session entsteht.
Die technische Auswertung durch ANY.RUN liefert dazu eine greifbare Erklärung, wie das Kit flexibel betrieben werden konnte. Laut Reverse-Engineering konnten die Betreiber zwischen zwei Modi wählen: einem einfachen PHP-basierten Einstiegspunkt, der vor allem Nutzernamen und Passwörter einsammelt, sowie einem Node.js-Reverse-Proxy, der den Login in Echtzeit zur Microsoft-Seite weiterreicht und anschließend die daraus resultierende Session ableitet. Der zweite Modus ist dabei der eigentliche Verstärker: Er übersetzt die scheinbare Sicherheit von MFA in eine schwächere Absicherung gegen Sitzungsdiebstahl. Besonders brisant ist, dass diese Architektur auch für wenig erfahrene Akteure „produktfähig“ bleibt, weil sie nicht zwingend eigenes Authentifizierungs-Engineering erfordert, sondern einen bereits funktionsfähigen Angriffspfad bereitstellt.
Die Ermittler beschreiben das Vorgehen zudem als eine Art Franchisemodell. Kunden, die das BKA als „franchisees“ bezeichnet, zahlten in Kryptowährungen und registrierten sich über eine dedizierte Website sowie einen Telegram-Shop, um Kampagnen zu koordinieren. Aus defensiver Sicht ist das mehr als ein organisatorisches Detail: Es erklärt, warum solche Kits nicht als Einzelwerk laufen, sondern schnell skalieren können. Die Behörden gehen außerdem davon aus, dass sich die Zahl der Opfer seit Ende 2024 auf „Hunderte Tausend“ beläuft, verteilt über mehr als 30 Länder, mit Schwerpunkt in Europa und den USA. Parallel nennen sie geschätzte Einnahmen von mehr als 300.000 Euro seit 2024; außerdem habe sich eine einzelne Kampagne laut Einschätzung auf mehrere Tausend Empfänger auswirken können.
Dass Microsoft hier nicht nur im Nachgang reagiert, wird durch die bereits vorhandene Bedrohungsarbeit unterstrichen: Microsoft Threat Intelligence ordnet den gleichen Kit-Komplex als „SneakyLog“ ein und berichtet, dass Credential- und 2FA-Diebstahl gegen Microsoft 365 seit mindestens Anfang 2025 damit durchgeführt worden sei. Außerdem sei ein Kampagnenlauf beobachtet worden, „in flagranti“, also während der Aktivität. Ein konkretes Beispiel aus dem Berichtstext: Am 10. Februar wurden taxbezogene E-Mails an rund 100 Organisationen versendet, überwiegend in den USA. Die Nachrichten enthielten jeweils ein W-2-Dokument mit QR-Code, der auf eine gefälschte Microsoft-365-Anmeldeseite führte und so den beabsichtigten Login-Flow auslöste.
Welche Konsequenzen das für die Incident Response hat, hängt stark vom Modus ab, in dem ein Ziel getroffen wurde. Wenn das Kit nur Credentials geerntet hat, helfen typischerweise ein Passwort-Reset und eine anschließende MFA-Prüfung. Wenn dagegen der Reverse-Proxy tatsächlich eine Live-Session hochgehoben hat, bleibt diese Sitzung trotz Reset bestehen – weil der Angreifer nicht auf das Passwort, sondern auf den gültigen Session-Mechanismus zugreift. Microsoft weist deshalb betroffene Nutzer an, deren Sitzung übernommen wurde, zur Revokation ihrer Sessions; für hochwertige Konten wird zusätzlich ein Wechsel auf phishing-resistente Sign-in-Verfahren empfohlen. In derselben Logik sieht Carsten Meywirth, Leiter der BKA-Cybercrime-Division, in der Maßnahme ein Signal dafür, dass auch hochprofessionelle Phishinginfrastrukturen effektiv bekämpft werden können; Benjamin Krause von der ZIT stellt dabei die disruptive Ausrichtung heraus, bei der nicht nur Hintermänner verfolgt werden, sondern ein krimineller Dienst gezielt aus dem Betrieb genommen wird.
Für die Jagd nach Kompromittierung liefert ANY.RUN außerdem konkrete Indikatoren, die in vielen Umgebungen schnell überprüfbar sein können. Als typisches „Tell“ wurden laut Analyse Login-Seiten beobachtet, die in nahezu allen Fällen zusammengehörige Assets laden, darunter barr.svg und lg.svg. Zusätzlich werden die gestohlenen Daten an Endpunkte wie next.php oder save.php per POST übermittelt. ANY.RUN bewertet dieses Muster mit etwa 90% Recall bei nahezu keinen False Positives; das ist für Security-Teams relevant, weil es die Hürde senkt, aus reinen Verdachtsdaten konkrete Suchregeln zu machen. Wichtig bleibt aber: Der Server-Takedown bedeutet nicht automatisch, dass die bereits im Umlauf befindlichen Kundeninstanzen sofort wirkungslos werden. Die Ermittler betonen, dass rund 1.800 Kunden und das von ihnen vorgehaltene Code-Material weiterhin existieren; zudem seien Kratos-Installationen laut ANY.RUN auf wegwerfartigen Domains, in kompromittierten WordPress-Umgebungen und sogar auf Hosting-Shares mit anderen AiTM-Kits betrieben worden. Genau solche „wieder auftauchenden“ Setups erklären, warum nach einer Abschaltung schnell neue Namen folgen können – technisch ähnliche Kits lassen sich oft unter anderem Branding neu ausrollen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Kratos-Phishingkit ausgeschaltet: Session-Cookie statt Passwort und MFA-Falle" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Kratos-Phishingkit ausgeschaltet: Session-Cookie statt Passwort und MFA-Falle" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Kratos-Phishingkit ausgeschaltet: Session-Cookie statt Passwort und MFA-Falle« bei Google Deutschland suchen, bei Bing oder Google News!