Le forze dell’ordine in Germania e negli Stati Uniti hanno smantellato l’infrastruttura centrale di Kratos, una piattaforma di phishing come servizio (PhaaS) utilizzata da cybercriminali in tutto il mondo, e hanno arrestato il suo sospetto sviluppatore in Indonesia. Durante l’operazione coordinata, gli investigatori hanno sequestrato più di 200 server che supportavano il servizio, mettendo di fatto offline la piattaforma e interrompendo le sue operazioni di phishing.
L’indagine è stata guidata dall’Ufficio Centrale di Francoforte per la Lotta al Crimine su Internet (ZIT) e dall’Ufficio Federale di Polizia Penale (BKA) della Germania, in collaborazione con le forze dell’ordine statunitensi. Secondo la BKA, Kratos era diventato una delle piattaforme di phishing più utilizzate dai cybercriminali, con vittime confermate identificate in 35 paesi, principalmente in Europa e negli Stati Uniti.
Gli investigatori ritengono che il servizio avesse una vasta clientela. Le autorità stimano che più di 1.800 criminali abbiano aderito a Kratos e lanciassero complessivamente circa 15.000 campagne di phishing ogni mese. Ogni campagna era in grado di prendere di mira migliaia di potenziali vittime, permettendo alla piattaforma di raggiungere un numero significativo di utenti internet in tutto il mondo.
Kratos operava secondo il modello del phishing come servizio, permettendo ai clienti di noleggiare strumenti di phishing pronti invece di svilupparne uno proprio. La piattaforma era specializzata nella creazione di pagine di autenticazione Microsoft fraudolente che assomigliavano molto a portali di login legittimi. Le vittime che hanno inserito le loro credenziali in queste pagine false hanno inconsapevolmente fornito agli aggressori l’accesso ai loro account Microsoft.
Secondo gli investigatori, credenziali Microsoft rubate venivano frequentemente utilizzate in attacchi successivi. L’accesso agli account compromessi potrebbe permettere ai cybercriminali di condurre schemi di compromissione delle email aziendali (BEC), rubare informazioni sensibili aziendali o personali, impersonare vittime in ulteriori campagne di phishing o prendere il controllo di account email per espandere i loro attacchi verso nuovi obiettivi.
Le autorità stimano che l’operatore abbia guadagnato almeno €300.000 (circa 342.000 dollari) di ricavi da abbonamento dal 2024 affittando l’accesso alla piattaforma. L’indagine suggerisce che il servizio funzionava come un’operazione criminale commerciale, con i clienti che pagavano commissioni ricorrenti in cambio di infrastrutture di phishing, strumenti di gestione e supporto tecnico.
Il presunto amministratore tecnico è stato arrestato in Indonesia nell’ambito dell’operazione internazionale. Le autorità tedesche ritengono che rimuovere la persona responsabile della manutenzione della piattaforma, insieme al sequestro delle sue infrastrutture, abbia posto fine alle attività di phishing di Kratos.
I visitatori che tentano di accedere al sito web della piattaforma ora ricevono un avviso di sequestro che indica che l’azione è stata effettuata nell’ambito dell’Operazione Olympus Blade. L’avviso conferma inoltre che il controllo del dominio è stato trasferito al Federal Bureau of Investigation (FBI) degli Stati Uniti.
Con più di 200 server ora nelle mani degli investigatori, le forze dell’ordine si aspettano di recuperare ulteriori prove forensi dall’infrastruttura sequestrata. Le autorità sperano che i dati raccolti aiutino a identificare altre persone che hanno acquistato l’accesso a Kratos, partecipato a campagne di phishing o comunque supportato le operazioni criminali della piattaforma. L’indagine è ancora in corso e potrebbero seguire ulteriori azioni di applicazione man mano che le prove vengono analizzate.