Kratos е фишинг услуга, създадена за мащабно крадене на идентификационни данни за Microsoft 365. Тя се е развила от комплекта Sneaky2FA и предоставя на партньорите си готови страници за влизане, опции за хостинг и функции за заобикаляне на защитите, които затрудняват откриването на измамни влизания в профила.

Операцията разчита на фишинг имейли, които пренасочват мишените през легитимно изглеждащи услуги, преди да им покажат фалшива страница за влизане.

Позиционирайки се между жертвата и реалната система за удостоверяване на Microsoft, Kratos успява да прихване пароли и активни сесийни токени – техника, наблюдаваната и при фишинг атаките от тип „човек по средата“ (AiTM), която може да отслаби защитата, осигурена от многофакторното удостоверяване.

Анализатори от ANY.RUN идентифицираха Kratos като зряла платформа от типа „фишинг като услуга“ (Phishing-as-a-Service) с контролен панел, проверки срещу ботове и автоматизирано доставяне на откраднатата информация на атакуващите.

От ANY.RUN посочват в доклад, споделен с Cyber Security News (CSN), че услугата значително намалява техническите умения, необходими за провеждане на убедителни кампании за кражба на идентификационни данни от Microsoft 365.

Съобщеното неутрализиране на Kratos по време на операция „Olympus Blade“ през юли 2026 г. обаче не е премахнало по-широкия риск.

Разбитите фишинг комплекти Kratos служат като план за действие

Kratos е проектиран като криминален инструментариум за многократна употреба, а не като еднократна кампания.

Неговите партньори могат да имитират познати услуги като платформи за споделяне на документи и софтуер за дизайн, след което да изпращат имейли, които насочват жертвите през SharePoint, OneDrive, Microsoft Forms, Canva или други легитимни уеб услуги, преди да достигнат до крайната клопка.

Този многослоен модел на доставка помага на киберпрестъпниците да избегнат имейл филтрите, тъй като първоначалната връзка не винаги изглежда да води към фишинг сайт.

Подобни тактики за социално инженерство се появиха наскоро и в кампании с фалшиви актуализации на Teams, където рутинно бизнес съобщение се използва, за да направи злонамереното действие да изглежда нормално.

Преди да зареди фалшив формуляр за влизане в Microsoft, Kratos може да представи CAPTCHA или проверка на браузъра, за да филтрира автоматизираните скенери. След това жертвите виждат размазан документ или фактура с анимация за зареждане, последвани от убедителна заявка за удостоверяване, целяща да създаде усещане за спешност и доверие.

Когато потребителят въведе своите данни и премине многофакторното удостоверяване, комплектът предава сесията в реално време и събира токена за удостоверяване. Това позволява на операторите да осъществят достъп до акаунта като вече потвърден потребител. Това означава, че само нулирането на паролата може да не прекрати компрометирането, ако активните сесии и токените за опресняване останат валидни.

Въздействието може да се разпростре далеч отвъд една пощенска кутия. Атакуващите с достъп до Microsoft 365 могат да четат бизнес кореспонденция, да променят платежни нареждания, да крадат файлове от SharePoint, Teams и OneDrive или да използват компрометирания акаунт за изпращане на нови фишинг съобщения до колеги, клиенти и доставчици.

Защита на акаунти в Microsoft 365

Организациите трябва да третират неочакваните известия за споделяне на документи и подкани за влизане като високорискови, особено когато пристигат чрез имейл, чат или връзка от непознат уебсайт.

Потребителите трябва да отварят Microsoft 365 директно, вместо да влизат през непоискани връзки, докато екипите по сигурността трябва да проверяват подозрителните съобщения, преди служителите да си взаимодействат с тях.

Защитниците трябва да наблюдават записите за влизане за необичайни местоположения, бързи влизания от отдалечени места, непознати устройства и признаци на повторно използване на токени. Мониторингът на правилата за пощенските кутии също е важен, тъй като компрометираните акаунти могат да се използват за тихо пренасочване на финансови съобщения или скриване на предупреждения за сигурност.

Нулирането на пароли трябва да бъде съчетано с прекратяване на активните сесии и токените за опресняване след предполагаемо превземане на акаунт.

Екипите по сигурността трябва също така да прилагат контроли за условен достъп, да използват устойчиво на фишинг удостоверяване, където е възможно, и да преглеждат уеб логовете за необичайни пренасочвания или дейности по удостоверяване.

Търсенето на заплахи трябва да се съсредоточи върху компонентите за многократна употреба, оставени от фишинг инфраструктурата, а не само върху единичен домейн, който може бързо да изчезне. Този подход става все по-важен, тъй като услугите с фишинг комплекти правят усъвършенстваната кражба на акаунти достъпна за повече престъпници.