Uma operação policial internacional resultou na prisão do desenvolvedor e na retirada de mais de 200 servidores de uma plataforma de PhaaS que utilizava proxies reversos para roubar sessões ativas e contornar a autenticação multifator.
| Componente | Kratos (também rastreado como SneakyLog), kit de phishing-as-a-service (PhaaS) com modo de proxy reverso Node.js e páginas PHP estáticas. |
| Vetor | Campanhas de phishing via e-mail, incluindo documentos fiscais maliciosos com QR codes, direcionando para páginas de login falsas que operam em modo Adversary-in-the-Middle (AiTM) ou coleta simples de credenciais. |
| Impacto | Roubo de sessões válidas do Microsoft 365, permitindo bypass de autenticação multifator (MFA), comprometimento de contas corporativas e risco elevado de Business Email Compromise (BEC). |
| Prioridade | Revogação imediata de todos os tokens de sessão ativos em ambientes suspeitos, implementação de autenticação resistente a phishing (FIDO2) e revisão de logs de acesso para indicadores de compromise do kit Kratos. |
Autoridades de segurança e policiais da Alemanha, Estados Unidos e Indonésia realizaram uma ação coordenada para desmantelar a infraestrutura central do Kratos, uma das ferramentas de phishing mais difundidas globalmente. A operação resultou na desativação de mais de 200 servidores e na prisão de um indivíduo na Indonésia, identificado como o principal desenvolvedor e operador da plataforma. O Kratos funcionava como um serviço de phishing criminal, operando sob um modelo de franquia que 降低 a barreira de entrada para criminosos com menos habilidades técnicas, permitindo que eles executassem campanhas em larga escala contra organizações.
A distinção técnica crítica do Kratos em relação a kits tradicionais residia na sua capacidade de não apenas colher credenciais de login, mas de extrair cookies de sessão válidos. A análise técnica conduzida por especialistas revelou que o kit oferecia dois modos operacionais distintos. O primeiro modo empregava uma página simples em PHP para a coleta de credenciais, enquanto o segundo, mais sofisticado, utilizava um proxy reverso em Node.js. Esse segundo modo implementava uma técnica conhecida como Adversary-in-the-Middle (AiTM), onde a ferramenta atua como um intermediário invisível entre a vítima e o serviço legítimo da Microsoft, permitindo o roubo da sessão autenticada em tempo real e, consequentemente, o bypass de mecanismos de autenticação multifator baseados em senha e token.
O fluxo de ataque orquestrado pelo Kratos, em sua configuração mais perigosa, iniciava-se com o acesso do "franqueado" ao painel de administração da plataforma, geralmente acessível via site dedicado ou bot no Telegram. Após o pagamento em criptomoedas, o operador podia configurar sua campanha. Quando o alvo clicava no link malicioso, frequentemente disfarçado em comunicações fiscais ou corporativas, o tráfego era roteado através do proxy reverso Node.js. Nesse arranjo, o servidor do atacante recebia as credenciais inseridas pela vítima e as encaminhava em tempo real para o servidor de autenticação legítimo da Microsoft.
Ao validar a senha e o fator secundário (se aplicável no fluxo legítimo), a Microsoft retornava um cookie de sessão para o proxy. O atacante, então, capturava esse cookie e repassava a resposta positiva para a vítima, que era redirecionada para sua conta legítima, muitas vezes sem perceber qualquer anomalia. O cookie de sessão capturado permite que o agente ameaça acesse a conta sem a necessidade de senha ou MFA, pois representa um estado de autenticidade já estabelecido. Esse mecanismo subverte a confiança depositada em sistemas MFA que não verificam a integridade do contexto de conexão, focando apenas na posse do segundo fator no momento do login inicial.
Investigações indicam que a plataforma era altamente prolifico, com estimativas de 1.800 clientes pagantes executando aproximadamente 15.000 campanhas por mês. O modelo de negócios facilitava a escalabilidade, pois o núcleo do kit cuidava da complexidade técnica do proxy reverso e da manutenção da infraestrutura, enquanto os "franqueados" focavam apenas na disseminação dos e-mails de phishing e na seleção de alvos. A receita gerada pela operação desde 2024 é estimada em mais de 300.000 euros, com vítimas concentradas na Europa e Estados Unidos, embora o alcance global abranja mais de 30 países.
A atividade do Kratos, também rastreada pela Microsoft Threat Intelligence sob o codinome SneakyLog, impactou predominantemente ambientes corporativos que utilizam o Microsoft 365. A análise de uma campanha específica interceptada em 10 de fevereiro demonstrou a sofisticação da engenharia social empregada. Nesse incidente, operadores enviaram e-mails com temática fiscal para cerca de 100 organizações, abrangendo setores como manufatura, varejo e saúde. Os e-mails continham documentos supostamente relacionados ao formulário W-2, que incluíam um QR code personalizado para cada recipiente.
A leitura do QR code direcionava o usuário para uma página de login falsa do Microsoft 365, hospedada na infraestrutura do Kratos. Uma vez comprometidas, as contas corporativas tornavam-se vetores para atividades maliciosas subsequentes. As autoridades alertam que credenciais e sessões roubadas não servem apenas para o acesso imediato, mas são frequentemente revendidas ou utilizadas para movimentação lateral dentro do ambiente Microsoft 365 da vítima. Isso cria um caminho direto para o Business Email Compromise (BEC), onde o atacante utiliza caixas de entrada legítimas para autorizar fraudes financeiras ou disseminar malware interno, aproveitando-se da confiança estabelecida pela conta comprometida.
A vasta quantidade de servidores derrubados (mais de 200) e o volume de campanhas indicam que a superfície de ataque estendia-se por uma rede diversificada de domínios descartáveis e sites WordPress comprometidos. A natureza distribuída da infraestrutura dificultava a mitigação completa, exigindo esforços de coordenação internacional para atingir o núcleo administrativo da operação.
Para a identificação de atividades passadas ou tentativas ativas relacionadas ao kit Kratos, equipes de segurança cibernética devem focar na análise telemétrica de proxies web e acessos a portais de autenticação. A engenharia reversa realizada pela ANY.RUN identificou padrões específicos na estrutura e comportamento das páginas de login geradas pelo kit. Uma assinatura de alto valor para detecção envolve a presença simultânea de dois ativos gráficos específicos carregados pela página de phishing: os arquivos barr.svg e lg.svg. A análise sugere que a detecção deste par de arquivos possui uma taxa de recall de aproximadamente 90% com falsos positivos próximos de zero.
Além dos ativos estáticos, o tráfego de rede deve ser monitorado quanto ao envio de credenciais para endpoints específicos. O kit Kratos tende a utilizar scripts que realizam requisições POST para arquivos como next.php ou save.php localizados no mesmo domínio da página de phishing. A presença desses arquivos em diretórios não documentados ou suspeitos, combinada com tentativas de login seguidas de redirecionamentos imediatos, é um indicador forte de comprometimento em andamento. Equipes de Defesa Contra Ameaças (Threat Hunting) também devem procurar por padrões de anomalia na sessão, como logins originários de locais geográficos díspares em curtos intervalos de tempo, o que pode indicar o uso de cookies roubados por atores distintos.
A resposta a incidentes envolvendo o Kratos requer uma abordagem diferenciada dependendo do modo de operação utilizado na campanha. Para vítimas cujas credenciais foram coletadas apenas pelo modo PHP estático, a ação mitigadora padrão de reset de senha e verificação do MFA é suficiente para recuperar o controle da conta. No entanto, para o modo de proxy reverso (AiTM), onde cookies de sessão foram extraídos, o reset de senha é ineficaz se a sessão maliciosa não for explicitamente revogada. Portanto, é imperativo que as equipes de segurança procedam com a invalidação forçada de todos os tokens de sessão ativos para contas suspeitas, não relying apenas na troca de credenciais.
A Microsoft está notificando usuários identificados como vítimas dessas campanhas. Como recomendação de longo prazo, organizações devem migrar para métodos de autenticação resistente a phishing, como o padrão FIDO2 (Fast IDentity Online). Tokens de hardware e chaves de acesso (passkeys) vinculam a identidade ao dispositivo específico, neutralizando a eficácia de ataques AiTM, pois o cookie de sessão não pode ser reutilizado em um dispositivo diferente sem o fator de posse físico. Enquanto a infraestrutura central do Kratos tenha sido desmantelada, o código do kit ainda está em posse dos cerca de 1.800 "franqueados", o que sugere que variantes ou rebrandings da ferramenta podem surgir em novas infraestruturas, exigindo vigilância contínua contra vetores de phishing sofisticados.
0 Comentários