Strafverfolgungsbehörden in Deutschland und den Vereinigten Staaten haben die Kerninfrastruktur von Kratos, einer Phishing-as-a-Service-(PhaaS)-Plattform, die weltweit von Cyberkriminellen genutzt wird, demontiert und den mutmaßlichen Entwickler in Indonesien festgenommen. Während der koordinierten Operation beschlagnahmten die Ermittler mehr als 200 Server, die den Dienst unterstützten, wodurch die Plattform effektiv offline genommen und ihre Phishing-Operationen gestört wurden.
Die Untersuchung wurde vom Frankfurter Zentralamt zur Bekämpfung von Internetkriminalität (ZIT) und der Bundeskriminalpolizei Deutschlands (BKA) geleitet, die gemeinsam mit US-Strafverfolgungsbehörden zusammenarbeiteten. Laut BKA war Kratos zu einer der am weitesten verbreiteten Phishing-Plattformen für Cyberkriminelle geworden, mit bestätigten Opfern in 35 Ländern, hauptsächlich in Europa und den Vereinigten Staaten.
Die Ermittler gehen davon aus, dass der Dienst eine große Kundenbasis hatte. Die Behörden schätzen, dass mehr als 1.800 Kriminelle Kratos abonniert haben und gemeinsam rund 15.000 Phishing-Kampagnen pro Monat gestartet haben. Jede Kampagne konnte Tausende potenzieller Opfer ansprechen, was es der Plattform ermöglichte, eine bedeutende Anzahl von Internetnutzern weltweit zu erreichen.
Kratos arbeitete nach dem Phishing-as-a-Service-Modell und ermöglichte es Kunden, fertige Phishing-Tools zu mieten, anstatt eigene zu entwickeln. Die Plattform spezialisierte sich darauf, betrügerische Microsoft-Authentifizierungsseiten zu erstellen, die legitimen Login-Portalen sehr ähnlich waren. Opfer, die ihre Zugangsdaten auf diese gefälschten Seiten eingaben, gewährten Angreifern unwissentlich Zugang zu ihren Microsoft-Konten.
Laut Ermittlern wurden gestohlene Microsoft-Zugangsdaten häufig bei Folgeangriffen verwendet. Der Zugang zu kompromittierten Konten könnte es Cyberkriminellen ermöglichen, geschäftliche E-Mail-Kompromittierungen (BEC) durchzuführen, sensible Unternehmens- oder persönliche Informationen zu stehlen, sich als Opfer zusätzlicher Phishing-Kampagnen auszugeben oder E-Mail-Konten zu übernehmen, um ihre Angriffe auf neue Ziele auszuweiten.
Die Behörden schätzen, dass der Betreiber seit 2024 mindestens 300.000 € (etwa 342.000 US-Dollar) an Abonnementeinnahmen durch die Vermietung des Zugangs zur Plattform erzielt hat. Die Untersuchung legt nahe, dass der Dienst als kommerzielle kriminelle Operation fungierte, bei der Kunden wiederkehrende Gebühren im Austausch für Phishing-Infrastruktur, Management-Tools und technischen Support zahlten.
Der mutmaßliche technische Administrator wurde im Rahmen der internationalen Operation in Indonesien festgenommen. Die deutschen Behörden glauben, dass die Entfernung der für die Wartung der Plattform verantwortlichen Person sowie die Beschlagnahmung ihrer Infrastruktur Kratos’ Phishing-Aktivitäten beendet haben.
Besuchern, die versuchen, auf die Website der Plattform zuzugreifen, erhalten nun eine Beschlagnahmungsbenachrichtigung, in der steht, dass die Maßnahme im Rahmen der Operation Olympus Blade durchgeführt wurde. Die Mitteilung bestätigt außerdem, dass die Kontrolle über das Domain an das US-amerikanische FBI übertragen wurde.
Da sich nun mehr als 200 Server in den Händen der Ermittler befinden, erwarten die Strafverfolgungsbehörden, zusätzliche forensische Beweise aus der beschlagnahmten Infrastruktur zu bergen. Die Behörden hoffen, dass die gesammelten Daten dazu beitragen, weitere Personen zu identifizieren, die Zugang zu Kratos erworben, an Phishing-Kampagnen teilgenommen oder anderweitig die kriminellen Operationen der Plattform unterstützt haben. Die Ermittlungen laufen weiterhin, und weitere Durchsetzungsmaßnahmen könnten folgen, während die Beweise analysiert werden.