Il 22 luglio 2026 forze dell'ordine tedesche e statunitensi hanno dichiarato il sequestro di oltre 200 server legati a Kratos, kit di phishing-as-a-service che rubava sessioni Microsoft 365 bypassando l'autenticazione a più fattori. Lo sviluppatore presunto, cittadino indonesiano, è stato arrestato dalle autorità locali. Il paradosso dell'operazione è tecnico prima che giudiziario: il codice sorgente del kit resta in circolazione tra circa 1.800 clienti paganti, trasformando un'infrastruttura smantellata in un manuale riproducibile per attacchi futuri.
- Il kit Kratos operava in modalità dual-mode: raccolta passiva credenziali via PHP oppure furto attivo di sessione post-MFA tramite reverse proxy Node.js con tecnica adversary-in-the-middle
- Microsoft Threat Intelligence traccia il medesimo kit con il nome alternativo "SneakyLog", attivo dal primo trimestre 2025
- La campagna del 10 febbraio 2026 ha utilizzato email tema-tasse con QR code personalizzato per circa 100 organizzazioni statunitensi
- Gli indicatori tecnici identificati da ANY.RUN — asset barr.svg e lg.svg con POST a next.php/save.php — garantiscono il 90% di recall con quasi zero falsi positivi
Come funzionava il furto di sessione AiTM
Kratos implementava un reverse proxy Node.js che intercettava il flusso di autenticazione Microsoft 365 in tempo reale. La vittima inseriva credenziali e completava l'MFA su una pagina clone; il proxy inoltrava le credenziali al server Microsoft legittimo, riceveva il token di sessione validato e lo duplicava per l'operatore del kit. La sessione rubata restava attiva indipendentemente dal successivo cambio password della vittima, poiché il token validato non veniva invalidato automaticamente.
Modalità fallback in PHP consentiva una raccolta più semplice: credenziali catturate senza interazione live con l'infrastruttura Microsoft. Questa doppia architettura abbassava la soglia di competenza tecnica per i clienti del servizio.
Il modello franchising e i numeri dell'operazione
Secondo il dossier citato, Kratos funzionava come piattaforma a franchising con pagamenti in criptovalute, iscrizione tramite sito dedicato e canale Telegram shop. I clienti erano denominati "franchisee" dal Bundeskriminalamt (BKA). La base pagante ammontava a circa 1.800 soggetti. La stima operativa indica circa 15.000 campagne di phishing al mese. I ricavi stimati dal 2024 superano i 300.000 euro.
Le vittime documentate si contano in centinaia di migliaia dal tardo 2024, distribuite in oltre 30 paesi. Il sequestro di oltre 200 server rappresenta un'interruzione significativa dell'infrastruttura, ma non del codice che l'alimentava.
"Disruptive approach of dismantling a criminal service outright rather than only charging the people behind it"
Perché è importante
Il takedown di Kratos dimostra che le infrastrutture criminali possono essere identificate e interrotte, ma non che possano essere erase. Il codice del kit circola ancora; ANY.RUN segnala che Kratos girava su domini usa-e-getta, istanze WordPress compromesse e hosting condiviso con altri kit AiTM. Questa modularità architetturale rende la replicazione immediata per chiunque abbia acquisito il pacchetto software prima del 22 luglio.
Il dossier non specifica se Microsoft abbia revocato le sessioni compromesse identificate. Non emerge nemmeno lo stato attuale delle indagini sui 1.800 clienti del servizio: l'arresto documentato riguarda esclusivamente lo sviluppatore indonesiano, non la rete distributiva.
Il BKA ha evidenziato una caratteristica operativa rilevante: i server sequestrati erano distribuiti in modo da rendere complessa la correlazione geografica, ma la presenza di asset statici condivisi (barr.svg, lg.svg) e endpoint fissi (next.php, save.php) ha permesso indicatori di rilevamento stabili nel tempo.
Il caso SneakyLog e la traccia di Microsoft
Microsoft Threat Intelligence ha tracciato il medesimo kit con il nome alternativo "SneakyLog", documentandone l'attività dal primo trimestre 2025. La convergenza tra denominazioni — Kratos per le forze dell'ordine tedesche, SneakyLog per Microsoft — conferma che l'ecosistema di intelligence sta mappando gli stessi operatori attraverso tassonomie diverse. Non emergono sovrapposizioni infrastrutturali che colleghino Kratos ad altri kit AiTM noti oltre a questa duplice etichettatura.
La campagna del 10 febbraio 2026 resta il caso documentato con maggiore precisione: email a tema fiscale con riferimento a documenti W-2, QR code personalizzato per ciascun destinatario, bersaglio di circa 100 organizzazioni statunitensi. Il QR code era progettato per eludere i filtri sui link testuali tradizionali.
Perché il business model sopravvive al takedown
La dismantling operation ha colpito l'infrastruttura, non il mercato. Il codice di Kratos non richiede server proprietari: funziona su qualsiasi istanza Node.js con capacità di proxy inverso. I 1.800 franchisee possono replicare l'operazione con hosting usa-e-getta, rendendo il kit un blueprint a basso costo per criminali con competenze tecniche limitate. Questo è il paradosso centrale: smantellare i server non smantella il modello economico.
Carsten Meywirth, capo divisione cybercrime del BKA, ha formulato la valutazione nel seguenti termini: "that even highly professional phishing infrastructures can be effectively combated". La dichiarazione enuncia un risultato operativo, non una conclusione strategica. La combat effectiveness misurata dal sequestro server non si traduce automaticamente in riduzione del rischio per gli utenti finali.
Il brief non documenta misure correttive specifiche né raccomandazioni operative esplicite da parte delle autorità. La fonte non specifica la natura dei dati esfiltrati oltre ai token di sessione, né distingue tra vittime con sessioni effettivamente utilizzate e vittime con sole credenziali catturate in modalità PHP.
L'indagine rimane aperta su un punto di attribuzione: l'identità esatta dello sviluppatore arrestato non è riportata, e non è nota la quantità effettiva di codice sorgente recuperata durante l'operazione. Questi limiti condizionano la valutazione dell'impatto a lungo termine del takedown.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
- https://thehackernews.com/2026/07/police-dismantle-kratos-phishing-kit.html
- https://thehackernews.com/
- https://thehackernews.com/p/upcoming-hacker-news-webinars.html
- https://thehackernews.com/search/label/Threat%20Intelligence
- https://thehackernews.com/search/label/Vulnerability
- https://thehackernews.com/search/label/Cyber%20Attack
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.