Agências de aplicação da lei na Alemanha e nos Estados Unidos desmontaram a infraestrutura central do Kratos, uma plataforma de phishing como serviço (PhaaS) usada por cibercriminosos ao redor do mundo, e prenderam seu suspeito desenvolvedor na Indonésia. Durante a operação coordenada, investigadores apreenderam mais de 200 servidores que suportavam o serviço, efetivamente desligando a plataforma e interrompendo suas operações de phishing.
A investigação foi liderada pelo Escritório Central de Frankfurt para Combate ao Crime na Internet (ZIT) e pelo Escritório Federal de Polícia Criminal da Alemanha (BKA), trabalhando em conjunto com agências de aplicação da lei dos EUA. Segundo a BKA, o Kratos se tornou uma das plataformas de phishing mais utilizadas por cibercriminosos, com vítimas confirmadas identificadas em 35 países, principalmente na Europa e nos Estados Unidos.
Os investigadores acreditam que o serviço tinha uma grande base de clientes. As autoridades estimam que mais de 1.800 criminosos assinaram o Kratos e, coletivamente, lançaram cerca de 15.000 campanhas de phishing todos os meses. Cada campanha era capaz de atingir milhares de vítimas potenciais, permitindo que a plataforma alcançasse um número significativo de usuários da internet ao redor do mundo.
O Kratos operava sob o modelo de phishing como serviço, permitindo que os clientes alugassem ferramentas de phishing prontas em vez de desenvolver suas próprias. A plataforma se especializou em criar páginas fraudulentas de autenticação da Microsoft que se assemelhavam muito a portais de login legítimos. Vítimas que inseriram suas credenciais nessas páginas falsas sem saberem forneceram acesso às suas contas Microsoft aos atacantes.
Segundo investigadores, credenciais roubadas da Microsoft eram frequentemente usadas em ataques subsequentes. O acesso a contas comprometidas pode permitir que cibercriminosos realizem esquemas de comprometimento de e-mail empresarial (BEC), roubem informações corporativas ou pessoais sensíveis, se passem por vítimas em campanhas adicionais de phishing ou assumam o controle de contas de e-mail para expandir seus ataques para novos alvos.
As autoridades estimam que a operadora obteve pelo menos €300.000 (aproximadamente $342.000) em receita de assinaturas desde 2024 ao alugar acesso à plataforma. A investigação sugere que o serviço funcionava como uma operação comercial criminosa, com clientes pagando taxas recorrentes em troca de infraestrutura de phishing, ferramentas de gerenciamento e suporte técnico.
O suposto administrador técnico foi preso na Indonésia como parte da operação internacional. As autoridades alemãs acreditam que remover o responsável pela manutenção da plataforma, junto com a apreensão de sua infraestrutura, pôs fim às atividades de phishing de Kratos.
Visitantes que tentam acessar o site da plataforma agora recebem um aviso de apreensão informando que a ação foi realizada como parte da Operação Lâmina Olimpo. O aviso também confirma que o controle do domínio foi transferido para o Federal Bureau of Investigation (FBI) dos EUA.
Com mais de 200 servidores agora nas mãos dos investigadores, as agências de segurança esperam recuperar evidências forenses adicionais da infraestrutura apreendida. As autoridades esperam que os dados coletados ajudem a identificar outras pessoas que compraram acesso ao Kratos, participaram de campanhas de phishing ou apoiaram as operações criminosas da plataforma. A investigação continua em andamento, e ações adicionais de fiscalização podem ocorrer à medida que as evidências são analisadas.