Smantellato il kit Kratos: 200 server, ma il codice AiTM resta…

Forze tedesche, americane e indonesiane hanno smantellato il kit di phishing Kratos. Il codice AiTM resta però nelle mani di circa 1.800 clienti, trasformando un

Il 20 luglio 2026 forze dell'ordine tedesche (BKA e ZIT), americane e indonesiane hanno messo offline oltre 200 server e arrestato in Indonesia il presunto sviluppatore di Kratos, uno dei kit di phishing più diffusi al mondo. Il takedown ha generato un effetto collaterale pericoloso: il codice sorgente resta nelle mani di circa 1.800 clienti paganti, trasformando una piattaforma PhaaS controllata in bene pubblico criminale pronto a rinascere sotto altri nomi.

Punti chiave

Oltre 200 server sequestrati e arresto in Indonesia: il presunto sviluppatore del kit Kratos è in custodia, ma il codice AiTM circola ancora tra i clienti
Architettura dual-mode: modalità PHP per raccolta credenziali tradizionale e modalità avanzata Node.js reverse proxy che implementa AiTM contro Microsoft 365, bypassando MFA basato su TOTP/SMS/push
~1.800 clienti paganti generavano ~15.000 campagne di phishing al mese con ricavi stimati superiori a 300.000 euro dal 2024, secondo The Hacker News; GBHackers estende la stima a "oltre €300.000" dal 2020
Microsoft Threat Intelligence traccia lo stesso kit con il nome "SneakyLog" da almeno inizio 2025; una campagna documentata il 10 febbraio 2026 ha colpito ~100 organizzazioni nei settori manufacturing, retail e healthcare

Il takedown e il suo effetto hydra: quando smantellare alimenta la diffusione

Le operazioni di sequestro hanno interessato l'infrastruttura di hosting condiviso, domini usa-e-getta e siti WordPress compromessi che Kratos utilizzava per distribuire le proprie pagine di phishing. Il modello economico, strutturato come franchise con pagamenti in criptovalute e gestione account tramite sito dedicato e shop Telegram, aveva abbassato drasticamente la barriera tecnica per criminali low-skill.

Tuttavia, il nucleo del problema non è nei server. ANY.RUN ha reverse-engineered il kit e identificato una modalità avanzata Node.js che implementa un reverse proxy in tempo reale: il traffico di autenticazione Microsoft 365 viene relayato attraverso l'infrastruttura dell'attaccante, che cattura i cookie di sessione dopo il completamento dell'MFA. Questo meccanismo, noto come Adversary-in-the-Middle, rende inefficace l'autenticazione a due fattori basata su TOTP, SMS o notifiche push.

"Even highly professional phishing infrastructures can be effectively combated" — Carsten Meywirth, capo divisione cybercrime BKA

La dichiarazione di Meywirth sottolinea l'efficacia operativa del takedown, ma una seconda citazione dello stesso dossier rivela la tensione strategica. Benjamin Krause della ZIT Frankfurt ha definito l'operazione un "disruptive approach of dismantling a criminal service outright rather than only charging the people behind it". L'approccio disruptivo, però, non ha neutralizzato il codice cliente.

Come funziona l'attacco AiTM e perché bypassa l'MFA tradizionale

Il kit Kratos operava in due modalità distinte. La prima, statica e meno sofisticata, utilizzava pagine PHP per la raccolta diretta di credenziali: un classico harvesting che non supera l'MFA, ma che resta efficace contro utenti che non la hanno attivata. La seconda modalità, quella che ha reso Kratos/SneakyLog particolarmente pericoloso, sfrutta un reverse proxy Node.js che si interpone tra la vittima e i server Microsoft.

Quando l'utente inserisce email e password nella pagina di phishing, il proxy inoltra le credenziali al server Microsoft legittimo. L'utente completa normalmente il secondo fattore — codice TOTP, SMS o conferma push — e il proxy cattura il cookie di sessione risultante. L'attaccante può quindi replicare quella sessione senza mai possedere le credenziali permanenti, e il reset della password non invalida il cookie rubato.

ANY.RUN ha documentato indicatori di compromissione specifici con un recall del 90% e near-zero false positives: la coppia di file barr.svg e lg.svg caricati insieme, e le richieste POST agli endpoint next.php o save.php. Questi IoC permettono hunting retroattivo nelle reti aziendali, ma la loro efficacia dipende dalla visibilità storica dei log.

Cosa fare adesso

Revocare esplicitamente tutte le sessioni Microsoft 365 attive e forzare il re-autenticazione, operazione che invalida i cookie AiTM potenzialmente rubati; il semplice reset password non è sufficiente
Verificare nei log storici la presenza della coppia di file barr.svg e lg.svg, o di chiamate POST agli endpoint next.php e save.php, per identificare esposizioni passate non rilevate
Accelerare la migrazione verso MFA phishing-resistant basato su FIDO2/WebAuthn, resistente per design ai relay AiTM poiché il protocollo non trasmette credenziali replicabili
Monitorare l'emergere di nuovi kit che riutilizzino il codebase Kratos/SneakyLog con nomi di dominio o branding differenti, dato che ~1.800 ex-clienti possiedono il codice

I numeri dell'operazione e le discrepanze da notare

The Hacker News riporta circa 1.800 clienti paganti, ~15.000 campagne di phishing al mese e ricavi superiori a 300.000 euro dal 2024, con vittime che si contano in centinaia di migliaia da fine 2024 in oltre 30 paesi. GBHackers conferma i dati su clienti e campagne, ma specifica ~850 vittime identificate in 35 paesi e estende la stima dei ricavi a "oltre €300.000" dal 2020 al 2024. La discrepanza sulle vittime — centinaia di migliaia vs. ~850 identificate — riflette probabilmente la differenza tra tentativi di phishing e compromissioni verificate.

La campagna documentata il 10 febbraio 2026, attiva contro ~100 organizzazioni nei settori manufacturing, retail e healthcare principalmente negli Stati Uniti, utilizzava email a tema fiscale con QR code personalizzati che puntavano a fake login Microsoft 365. Questa specificità operativa dimostra che Kratos non era un kit generico, ma una piattaforma capace di personalizzazione mirata per settore e geografica.

Il paradosso Kratos: takedown di successo, rischio di eredità

Il BKA ha affermato che "Kratos-powered campaigns cannot continue" nel loro attuale formato centralizzato. La lettura tecnica, però, suggerisce un'altra dinamica. Con il codice in circolazione tra ~1.800 franchisee, ciascuno con competenze tecniche variabili ma con il blueprint AiTM completo, il takedown ha eliminato il punto di raccolta economico ma non la capacità di riproduzione tecnica.

Il settore della cybersecurity si confronta con una verifica scomoda: le operazioni di sequestro infrastrutturale senza inseguitamento dei clienti possono accelerare la diffusione di un kit più che ridurla. Kratos diventa case study di un "paradosso hydra" — tagliare una testa ne genera molteplici, se il cervello condiviso sopravvive. Per le difese aziendali, la lezione operativa è che la resilienza contro AiTM non risiede nel monitoraggio dei domini di phishing — che cambiano quotidianamente — ma nell'adozione di protocolli di autenticazione che rendano il relay tecnicamente impossibile.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti