Las fuerzas del orden alemanas y estadounidenses han derribado la infraestructura central de Kratosdescrito por investigadores alemanes como uno de los kits de phishing criminal más utilizados en el mundo, y las autoridades indonesias arrestaron al hombre que, según dicen, lo desarrolló y ejecutó.
En un anuncio conjunto el lunes, la unidad de cibercrimen del fiscal de Frankfurt (ZIT) y la Oficina Federal de Policía Criminal de Alemania (BKA) dijeron que habían desconectado más de 200 servidores. Los investigadores estiman que aproximadamente 1.800 clientes de pago utilizaron Kratos para ejecutar unas 15.000 campañas de phishing al mes.
Kratos recopiló más que contraseñas. El kit fue diseñado para robar la cookie de sesión junto con el inicio de sesión, y esa cookie es suficiente para pasar la autenticación de dos factores en la cuenta como usuario, dijo la BKA.
ANY.RUN, que realizó ingeniería inversa del kit, descubrió que los operadores podían elegir uno de dos modos: una página PHP simple que solo recolecta credenciales, o un proxy inverso Node.js diseñado para transmitir el inicio de sesión a Microsoft en tiempo real y capturar la sesión resultante. Esa segunda modalidad es la técnica del adversario en el medio que ha convertido al MFA ordinario en un respaldo mucho más débil de lo que parece.
La operación se desarrolló como una franquicia, con los clientes que la BKA llamaba franquiciados. Pagaron en criptomonedas y se registraron a través de un sitio web exclusivo y una tienda de Telegram para administrar sus cuentas y organizar campañas, de modo que incluso los actores poco calificados pudieran apuntar un kit AiTM funcional a un objetivo.
Las autoridades cifran el número de víctimas desde finales de 2024 en cientos de miles, repartidas en más de 30 países y concentradas en Europa y Estados Unidos. Calculan que los operadores ganaron más de 300.000 euros desde 2024 y que cada campaña podría llegar a varios miles de destinatarios.
Kratos ya estaba siendo rastreado. Microsoft Threat Intelligence identifica el mismo kit que Registro furtivouna plataforma de phishing como servicio que, según dice, ha realizado robo de credenciales y 2FA contra Microsoft 365 desde al menos principios de 2025, y detectó una campaña en el acto.
El 10 de febrero, los operadores enviaron correos electrónicos con temas fiscales a alrededor de 100 organizaciones, principalmente en los EE. UU., en los sectores de fabricación, venta minorista y atención médica, cada uno con un documento W-2 con un código QR personalizado para el destinatario que condujo a un inicio de sesión falso en Microsoft 365.
Los inicios de sesión robados de Microsoft rara vez son el final del camino. La BKA dijo que las credenciales robadas podrían usarse para más phishing, venderse a otros delincuentes o convertirse en un punto de apoyo dentro de las empresas al difundirse a través de sus entornos Microsoft 365, el camino familiar desde una bandeja de entrada suplantada hasta el compromiso del correo electrónico empresarial.
Carsten Meywirth, jefe de la división de cibercrimen de la BKA, afirmó que la operación demuestra “que incluso las infraestructuras de phishing altamente profesionales pueden combatirse eficazmente”. Benjamin Krause, del ZIT, lo planteó como prueba del enfoque “perturbador” de la oficina de desmantelar un servicio criminal directamente en lugar de sólo acusar a las personas detrás de él.
Microsoft está notificando a los usuarios atrapados en las campañas. Para cualquier persona a la que Microsoft notifique, la solución depende de cómo se vio afectada. Cuando el kit solo recopiló credenciales, un restablecimiento de contraseña y una verificación de MFA lo cubren. Cuando su modo de proxy inverso levantó una sesión en vivo, esa sesión sobrevive al reinicio, por lo que debe ser revocada, y las cuentas de alto valor se trasladan a un inicio de sesión resistente al phishing.
Los defensores que buscan exposición pueden buscar la indicación del kit: ANY.RUN encontró que sus páginas de inicio de sesión casi siempre cargan los activos emparejados barr.svg y lg.svg, luego PUBLICAN las credenciales robadas en puntos finales como next.php o save.php. Califica ese emparejamiento con un 90% de recuperación con casi cero falsos positivos.
Por ahora, los servidores están fuera de línea y, según la BKA, las campañas impulsadas por Kratos no pueden continuar. Lo que la eliminación no afectó son los aproximadamente 1.800 clientes ni el código del kit que ya poseen. ANY.RUN encontró que Kratos se ejecuta en dominios desechables, sitios de WordPress comprometidos y alojamiento compartido con otros kits de adversarios intermedios, el tipo de configuración que reaparece con un nuevo nombre una vez que los servidores caen.