🌟 Atualização imperdível para quem gosta de estar bem informado!
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
As autoridades alemãs e norte-americanas derrubaram a infraestrutura central de Kratos, descrita por investigadores alemães como um dos kits de phishing criminoso mais utilizados no mundo, e as autoridades indonésias prenderam o homem que dizem ter desenvolvido e administrado o kit.
Em um anúncio conjunto na segunda-feira, a unidade de crimes cibernéticos do Ministério Público de Frankfurt (ZIT) e o Departamento Federal de Polícia Criminal da Alemanha (BKA) disseram que colocaram mais de 200 servidores offline. Os investigadores estimam que cerca de 1.800 clientes pagantes usaram o Kratos para realizar cerca de 15.000 campanhas de phishing por mês.
Kratos coletou mais do que senhas. O kit foi projetado para roubar o cookie de sessão junto com o login, e esse cookie é suficiente para passar pela autenticação de dois fatores na conta como usuário, disse o BKA.
ANY.RUN, que fez a engenharia reversa do kit, descobriu que os operadores poderiam escolher um dos dois modos: uma página PHP simples que coleta apenas credenciais ou um proxy reverso Node.js projetado para retransmitir o login para a Microsoft em tempo real e capturar a sessão resultante. Esse segundo modo é a técnica do adversário intermediário que tornou o MFA comum uma barreira muito mais fraca do que parece.
A operação funcionava como uma franquia, com clientes que o BKA chamava de franqueados. Eles pagaram em criptomoeda e se inscreveram por meio de um site dedicado e de uma loja do Telegram para gerenciar suas contas e organizar campanhas, para que mesmo atores com pouca habilidade pudessem apontar um kit AiTM funcional para um alvo.
As autoridades estimam o número de vítimas desde o final de 2024 em centenas de milhares, espalhadas por mais de 30 países e concentradas na Europa e nos Estados Unidos. Estimam que os operadores ganharam mais de 300.000 euros desde 2024 e que cada campanha poderá atingir vários milhares de destinatários.
Kratos já estava sendo rastreado. O Microsoft Threat Intelligence identifica o mesmo kit que o SneakyLog, uma plataforma de phishing como serviço que, segundo ela, executou roubo de credenciais e 2FA contra o Microsoft 365 desde pelo menos o início de 2025, e capturou uma campanha em flagrante.
Em 10 de fevereiro, as operadoras enviaram e-mails com temas fiscais para cerca de 100 organizações, principalmente nos EUA, de manufatura, varejo e saúde, cada uma carregando um documento W-2 com um código QR personalizado para o destinatário que levou a um login falso do Microsoft 365.
Logins roubados da Microsoft raramente são o fim da linha. O BKA disse que as credenciais roubadas poderiam ser usadas para mais phishing, vendidas a outros criminosos ou transformadas em uma base dentro das empresas, espalhando-se por seus ambientes Microsoft 365, o caminho familiar de uma caixa de entrada phishing até o comprometimento de e-mail comercial.
Carsten Meywirth, que dirige a divisão de crimes cibernéticos do BKA, disse que a operação mostra “que mesmo infraestruturas de phishing altamente profissionais podem ser combatidas de forma eficaz”. Benjamin Krause, do ZIT, enquadrou-o como prova da abordagem "disruptiva" do gabinete de desmantelar completamente um serviço criminal, em vez de apenas acusar as pessoas por detrás dele.
A Microsoft está notificando os usuários pegos nas campanhas. Para qualquer pessoa que a Microsoft esteja notificando, a correção depende de como foi atingida. Onde o kit coletou apenas credenciais, uma redefinição de senha e uma verificação de MFA cobrem isso. Onde seu modo de proxy reverso interrompeu uma sessão ao vivo, essa sessão sobreviveu à redefinição, por isso deve ser revogada, com contas de alto valor movidas para login resistente a phishing.
Os defensores em busca de exposição podem procurar a informação do kit: ANY.RUN descobriu que suas páginas de login quase sempre carregam os ativos emparelhados barr.svg e lg.svg e, em seguida, POST credenciais roubadas em endpoints como next.php ou save.php. Ele avalia esse emparelhamento com 90% de recall com quase zero falsos positivos.
Por enquanto, os servidores estão offline e, segundo o BKA, as campanhas alimentadas por Kratos não podem continuar. O que a remoção não afetou foram os cerca de 1.800 clientes ou o código do kit que eles já possuem. ANY.RUN encontrou Kratos rodando em domínios descartáveis, sites WordPress comprometidos e hospedagem compartilhada com outros kits de adversários intermediários, o tipo de configuração que reaparece com um novo nome quando os servidores ficam inativos.
Em um anúncio conjunto na segunda-feira, a unidade de crimes cibernéticos do Ministério Público de Frankfurt (ZIT) e o Departamento Federal de Polícia Criminal da Alemanha (BKA) disseram que colocaram mais de 200 servidores offline. Os investigadores estimam que cerca de 1.800 clientes pagantes usaram o Kratos para realizar cerca de 15.000 campanhas de phishing por mês.
Kratos coletou mais do que senhas. O kit foi projetado para roubar o cookie de sessão junto com o login, e esse cookie é suficiente para passar pela autenticação de dois fatores na conta como usuário, disse o BKA.
ANY.RUN, que fez a engenharia reversa do kit, descobriu que os operadores poderiam escolher um dos dois modos: uma página PHP simples que coleta apenas credenciais ou um proxy reverso Node.js projetado para retransmitir o login para a Microsoft em tempo real e capturar a sessão resultante. Esse segundo modo é a técnica do adversário intermediário que tornou o MFA comum uma barreira muito mais fraca do que parece.
A operação funcionava como uma franquia, com clientes que o BKA chamava de franqueados. Eles pagaram em criptomoeda e se inscreveram por meio de um site dedicado e de uma loja do Telegram para gerenciar suas contas e organizar campanhas, para que mesmo atores com pouca habilidade pudessem apontar um kit AiTM funcional para um alvo.
As autoridades estimam o número de vítimas desde o final de 2024 em centenas de milhares, espalhadas por mais de 30 países e concentradas na Europa e nos Estados Unidos. Estimam que os operadores ganharam mais de 300.000 euros desde 2024 e que cada campanha poderá atingir vários milhares de destinatários.
Kratos já estava sendo rastreado. O Microsoft Threat Intelligence identifica o mesmo kit que o SneakyLog, uma plataforma de phishing como serviço que, segundo ela, executou roubo de credenciais e 2FA contra o Microsoft 365 desde pelo menos o início de 2025, e capturou uma campanha em flagrante.
Em 10 de fevereiro, as operadoras enviaram e-mails com temas fiscais para cerca de 100 organizações, principalmente nos EUA, de manufatura, varejo e saúde, cada uma carregando um documento W-2 com um código QR personalizado para o destinatário que levou a um login falso do Microsoft 365.
Logins roubados da Microsoft raramente são o fim da linha. O BKA disse que as credenciais roubadas poderiam ser usadas para mais phishing, vendidas a outros criminosos ou transformadas em uma base dentro das empresas, espalhando-se por seus ambientes Microsoft 365, o caminho familiar de uma caixa de entrada phishing até o comprometimento de e-mail comercial.
Carsten Meywirth, que dirige a divisão de crimes cibernéticos do BKA, disse que a operação mostra “que mesmo infraestruturas de phishing altamente profissionais podem ser combatidas de forma eficaz”. Benjamin Krause, do ZIT, enquadrou-o como prova da abordagem "disruptiva" do gabinete de desmantelar completamente um serviço criminal, em vez de apenas acusar as pessoas por detrás dele.
A Microsoft está notificando os usuários pegos nas campanhas. Para qualquer pessoa que a Microsoft esteja notificando, a correção depende de como foi atingida. Onde o kit coletou apenas credenciais, uma redefinição de senha e uma verificação de MFA cobrem isso. Onde seu modo de proxy reverso interrompeu uma sessão ao vivo, essa sessão sobreviveu à redefinição, por isso deve ser revogada, com contas de alto valor movidas para login resistente a phishing.
Os defensores em busca de exposição podem procurar a informação do kit: ANY.RUN descobriu que suas páginas de login quase sempre carregam os ativos emparelhados barr.svg e lg.svg e, em seguida, POST credenciais roubadas em endpoints como next.php ou save.php. Ele avalia esse emparelhamento com 90% de recall com quase zero falsos positivos.
Por enquanto, os servidores estão offline e, segundo o BKA, as campanhas alimentadas por Kratos não podem continuar. O que a remoção não afetou foram os cerca de 1.800 clientes ou o código do kit que eles já possuem. ANY.RUN encontrou Kratos rodando em domínios descartáveis, sites WordPress comprometidos e hospedagem compartilhada com outros kits de adversários intermediários, o tipo de configuração que reaparece com um novo nome quando os servidores ficam inativos.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #polícia #desmonta #kit #de #phishing #kratos #criado #para #roubar #sessões #do #microsoft #365 #e #ignorar #mfa
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário