Kratos PhaaS bị triệt phá: hơn 200 máy chủ và nghi phạm tại Indonesia
"German authorities, supported by the US and Indonesia, dismantled the infrastructure behind the Kratos phishing-as-a-service kit and arrested its alleged developer and technical administrator in Indonesia. The operation neutralized more than 200 servers used to run Microsoft-themed phishing pages that stole credentials, session cookies, and bypassed MFA, with the kit linked to thousands of campaigns per month and hundreds of thousands of victims across 30+ countries."
Chiến dịch triệt phá làm giảm đáng kể khả năng vận hành của một dịch vụ PhaaS quy mô lớn, nhắm vào thông tin đăng nhập và vượt qua MFA. Hơn 200 máy chủ bị vô hiệu hóa là điểm tác động trực tiếp đến hạ tầng tấn công.
Nguy cơ gián đoạn và thiệt hại do lừa đảo chiếm đoạt tài khoản giảm khi hạ tầng bị triệt phá; tuy nhiên, tác động còn phụ thuộc vào phạm vi nạn nhân và thời gian tồn tại của chiến dịch. Hàng trăm nghìn nạn nhân và hơn 30 quốc gia cho thấy rủi ro lan rộng có thể kéo dài ở phía doanh nghiệp bị ảnh hưởng.
Cơ quan chức năng Đức cho biết đã vô hiệu hóa hạ tầng chính hỗ trợ bộ phishing-as-a-service (PhaaS) Kratos sau một chiến dịch có sự hỗ trợ từ Mỹ và Indonesia. Tại Đức, lực lượng từ ZIT (Central Office for Combating Internet Crime) và BKA (Federal Criminal Police) mô tả Kratos là một trong những dịch vụ PhaaS phổ biến và nguy hiểm nhất.
Tại Indonesia, giới chức cho biết họ đã bắt giữ “developer và technical administrator” bị cáo buộc của Kratos; thông báo không nêu rõ có truy tìm thêm cá nhân nào khác hay không. Theo ZIT và BKA, Kratos giúp tội phạm ít kỹ năng thu thập thông tin đăng nhập như mật khẩu và session cookies, từ đó vượt qua MFA nhờ các trang lừa đảo giả mạo giao diện xác thực của Microsoft.
Chiến dịch triệt phá đã tắt hơn 200 máy chủ và cáo buộc hạ tầng này liên quan đến hàng nghìn chiến dịch mỗi tháng, nhắm tới hàng trăm nghìn nạn nhân tại hơn 30 quốc gia. Cơ quan Đức ước tính có hơn 1.800 tổ chức tội phạm sử dụng Kratos, với khoảng 15.000 chiến dịch/tháng. Các biện pháp trước đây trong những vụ tương tự gồm trao lệnh pháp lý cho nhà cung cấp hạ tầng và phối hợp với ISP để sinkhole/null-route lưu lượng từ các IP bị nghi ngờ.
Khuyến nghị: doanh nghiệp nên tăng cường phát hiện trang giả mạo, rà soát log đăng nhập bất thường, và ưu tiên kiểm soát truy cập theo rủi ro thay vì chỉ dựa vào MFA truyền thống.