FRANKFURT / LONDON (IT BOLTWISE) – Die Ermittler haben die zentrale Infrastruktur des Kratos-Phishingkits offline genommen und damit mehr als 200 Server abgeschaltet. Nach ihren Schätzungen zahlten rund 1.800 Kunden für den Betrieb von etwa 15.000 Phishing-Kampagnen pro Monat. Das Kit zielte nicht nur auf Zugangsdaten, sondern stahl gezielt Sessions, um damit trotz Zwei-Faktor-Authentifizierung in Microsoft-365-Konten einzudringen. Zusätzlich warnt das BKA, dass betroffene Accounts je nach Angriffsvariante anders zurückgesetzt und gegebenenfalls revokiert werden müssen.
Die Ermittlungsbehörden in Deutschland und den USA haben nach eigenen Angaben die Kerninfrastruktur des Phishingkits Kratos zerschaltet. Aus Frankfurt teilten die Cybercrime-Einheit der Staatsanwaltschaft (ZIT) sowie das Bundeskriminalamt (BKA) mit, sie hätten über 200 Server offline genommen. Parallel dazu gingen indonesische Behörden gegen die Person vor, die sie als Entwickler und Betreiber einstufen. Die Bedeutung des Schritts liegt nicht nur in der Unterbrechung laufender Kampagnen, sondern auch darin, wie gezielt das Kit den Schutzmechanismus vieler Unternehmen aushebelte.
Konkret beschreibt das BKA Kratos als Setup, das mehr als reine Passwortabfragen leisten konnte: Neben Zugangsdaten erfassten die Angreifer vor allem den Session-Cookie. Der Kniff dahinter ist entscheidend, weil ein gestohlener Session-Token häufig ausreicht, um eine bereits erfolgreich durchlaufene Anmeldung im Kontext des Nutzers fortzusetzen. Damit wird Zwei-Faktor-Authentifizierung (MFA) in vielen Fällen zu einem schwächeren Rückhalt, als es das Sicherheitsmodell auf den ersten Blick vermuten lässt. Die Session wird dann so genutzt, als wäre sie legitim erzeugt worden – nicht als neues Login, das erneut MFA auslösen müsste.
Die technische Analyse des Kits, wie sie u. a. über die Reverse-Engineering-Ergebnisse von ANY.RUN zusammengefasst wird, zeigt zwei zentrale Betriebsmodi. Im einfachen Modus lieferte Kratos lediglich eine klassische PHP-Seite zur Ernte von Credentials. Im zweiten Modus arbeitete das Kit als Reverse Proxy auf Node.js-Basis und leitete den Log-in in Echtzeit an Microsoft weiter, um anschließend die resultierende Session abzugreifen. Genau dieses Muster entspricht einem Adversary-in-the-Middle-Ansatz (oft auch als man-in-the-middle bei Authentifizierung zusammengefasst): Der Angreifer sitzt in der Signalkette zwischen Client und Identitätsanbieter, übernimmt den Authentifizierungsfluss und macht damit das „Ergebnis“ nutzbar, das eigentlich nur der legitime Nutzer erhalten sollte.
Die Ermittler ordnen Kratos zugleich als „Phishing-as-a-Service“-Betrieb ein, der operativ wie eine Franchisekette funktionierte. Das BKA spricht dabei von Kunden, die als „Franchisees“ bezeichnet werden, und nennt 1.800 zahlende Nutzer, die im Schnitt etwa 15.000 Phishing-Kampagnen pro Monat betrieben haben. Auch die Vermarktungs- und Verteillogik wird greifbar: Laut den Angaben wurden Zahlungen per Kryptowährungen abgewickelt, die Registrierung lief über eine dedizierte Website, und die Verwaltung der Kampagnen erfolgte über einen Telegram-Shop. Diese Form senkt die Einstiegshürde erheblich, weil auch weniger erfahrene Akteure nicht die gesamte Infrastruktur selbst bauen müssen, sondern lediglich das vorhandene Kit konfigurieren und ausrollen.
Was die Kampagnen konkret betrifft, nennt das BKA einen Fall vom 10. Februar: Betreiber sollen taxbezogene E-Mails an rund 100 Organisationen geschickt haben, überwiegend in den USA. Jede Nachricht enthielt ein W-2-„Dokument“ inklusive QR-Code, der zu einer gefälschten Microsoft-365-Anmeldeseite führte, die auf den Empfänger zugeschnitten war. Wichtig ist dabei die Folgephase: Laut BKA endete der Zugriff häufig nicht beim ersten Diebstahl von Anmeldeinformationen. Gestohlene Logins und Sessions konnten für weitere Phishing-Aktionen genutzt, an andere Kriminelle verkauft oder als Fuß in Unternehmensumgebungen eingesetzt werden, um sich durch die Microsoft-365-Landschaft weiterzuarbeiten. Genau dieser Mechanismus – von „phished inbox“ zu Business-Email-Compromise – ist besonders für Sicherheitsabteilungen ein Problem, weil er in Microsoft-Umgebungen häufig breite Auswirkungen hat.
Für die Einstufung der Bedrohung spielt auch die Einordnung durch Microsoft Threat Intelligence eine Rolle: Dort wird dasselbe Kit als SneakyLog beschrieben. Microsoft führt aus, dass die Plattform Credential- und 2FA-Diebstahl gegen Microsoft 365 durchgeführt habe, mindestens seit frühestens 2025, und dass ein konkreter Angriff während der Umsetzung identifiziert wurde. Das BKA und seine Partner betonen zudem, dass die Infrastruktur bereits „getrackt“ gewesen sei, bevor der physische oder digitale Zugriff gekappt wurde. Für Verteidiger ist das relevant, weil es zeigt: Selbst professionelle Operationen lassen sich im Verbund aus Infrastrukturmaßnahmen und forensischer Verfolgung wirkungsvoll stören.
Für Unternehmen, die möglicherweise betroffen sind, wird die Abwehrstrategie unmittelbar pragmatisch: Wenn Kratos im reinen Credential-Ernte-Modus aktiv war, können laut BKA typischerweise ein Passwortreset und eine erneute MFA-Prüfung ausreichen. War dagegen der Reverse-Proxy-Modus im Einsatz und wurde dabei eine lebende Session angehoben, bleibt diese Session oft auch nach einem Reset gültig. Dann muss sie gezielt revokiert werden; besonders bei wertvollen Konten empfiehlt sich zudem, auf phishing-resistente Anmeldeverfahren zu wechseln. Die Suche nach Spuren kann zusätzlich über ein konkretes Erkennungsmerkmal erfolgen: ANY.RUN beobachtete, dass die zugehörigen Login-Seiten fast immer die gepaarten Assets barr.svg und lg.svg laden und gestohlene Credentials an Endpunkte wie next.php oder save.php posten. Laut Auswertung liegt die Trefferquote für diesen Indikator bei etwa 90% Recall bei nahezu nullen Falschpositiven.
Die gute Nachricht für die unmittelbare Bedrohungslage: Durch die Abschaltung der Server können die laufenden Kratos-gestützten Kampagnen nach Angaben der Behörden vorerst nicht weitergeführt werden. Gleichzeitig bleibt eine Warnung, die in solchen Takedowns fast immer gilt: Der Eingriff betrifft nicht zwingend alle Nutzer, die das Kit bereits in der Hand haben. Das BKA weist darauf hin, dass rund 1.800 Kunden und auch der Code selbst weiterhin existieren, etwa weil Kratos auf austauschbaren Domains, in kompromittierten WordPress-Installationen oder sogar auf gemeinsam genutztem Hosting lief – also genau in den Konstellationen, die typischerweise dafür sorgen, dass sich ein Angriff unter neuem Namen wiederholen lässt. Für Security-Teams heißt das: Neben der Incident-Reaktion müssen Telemetrie, Identitätsrichtlinien und die Erkennung von Authentifizierungsumgehungen weiter gestärkt werden, damit die nächste Iteration nicht nur „andere Server“, sondern auch andere Wege durch die gleiche Lücke findet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Kratos-Phishingkit: BKA stoppt Infrastruktur und warnt vor MFA-Umgehung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Kratos-Phishingkit: BKA stoppt Infrastruktur und warnt vor MFA-Umgehung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Kratos-Phishingkit: BKA stoppt Infrastruktur und warnt vor MFA-Umgehung« bei Google Deutschland suchen, bei Bing oder Google News!