Kratos-Phishing-Kit zerschlagen: Wie AiTM eure 2FA aushebelt

Ermittler aus Deutschland und den USA haben das Phishing-Kit Kratos zerschlagen – laut BKA eines der weltweit meistgenutzten kriminellen Baukästen für Phishing. Der eigentliche Weckruf steckt aber in der Technik dahinter: Kratos war darauf ausgelegt, die Zwei-Faktor-Authentifizierung zu umgehen. Genau das sollte jeden aufhorchen lassen, der sich mit einer SMS- oder App-basierten 2FA sicher fühlt.

Warum das Phishing-Kit Kratos die 2FA aushebelt

Im Reverse-Proxy-Modus stahl Kratos nicht nur das Passwort, sondern auch das Session-Cookie. Und dieses Cookie genügt, um an der Zwei-Faktor-Abfrage vorbei direkt als der angemeldete Nutzer im Konto zu landen. Laut der Analyse von ANY.RUN konnten Betreiber zwischen zwei Modi wählen: einer simplen PHP-Seite, die nur Zugangsdaten abgreift, oder einem Node.js-Reverse-Proxy, der die Anmeldung in Echtzeit an Microsoft weiterreicht und die entstehende Sitzung mitschneidet. Dieser zweite Modus ist die klassische Adversary-in-the-Middle-Technik (AiTM) – und sie macht eine gewöhnliche MFA zu einem deutlich schwächeren Schutz, als er aussieht.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Der Schlag gegen die Infrastruktur

In einer gemeinsamen Aktion nahmen die Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) in Frankfurt und das Bundeskriminalamt (BKA) mehr als 200 Server vom Netz; in Indonesien wurde der mutmaßliche Entwickler und Administrator festgenommen.

• Rund 1.800 zahlende Kunden (“Franchisenehmer”) nutzten Kratos laut Ermittlern für etwa 15.000 Phishing-Kampagnen pro Monat.
• Das BKA nennt rund 850 festgestellte Geschädigte in 35 Ländern, schwerpunktmäßig in Europa und den USA; das tatsächliche Schadenspotenzial dürfte höher liegen.
• Die Betreiber sollen seit 2024 mehr als 300.000 Euro eingenommen haben; abgerechnet wurde in Kryptowährung, verkauft über eine Website und einen Telegram-Shop.
• Microsoft Threat Intelligence führt denselben Baukasten als SneakyLog und beobachtet damit Angriffe auf Microsoft 365 seit mindestens Anfang 2025.

Was ihr jetzt konkret tun solltet

Wo nur Zugangsdaten abgegriffen wurden, reichen ein Passwort-Reset und eine MFA-Prüfung. Wo der Reverse-Proxy-Modus eine aktive Sitzung mitgeschnitten hat, überlebt diese Sitzung den Passwortwechsel – sie muss aktiv widerrufen werden. Der wichtigere, langfristige Hebel: Wer AiTM-Phishing wirklich ins Leere laufen lassen will, setzt auf phishing-resistente Anmeldung. Hardware-Sicherheitsschlüssel nach dem FIDO2-Standard binden die Anmeldung kryptografisch an die echte Domain – ein zwischengeschalteter Proxy bekommt schlicht keine verwertbare Sitzung. Wie das praktisch aussieht, habe ich im Ratgeber zu den besten Hardware-Security-Keys mit FIDO2 zusammengefasst.

Für die Erkennung im eigenen Netz gibt es ein hilfreiches Merkmal: Laut ANY.RUN luden die Login-Seiten fast immer das Asset-Paar barr.svg und lg.svg und schickten die Daten an Endpunkte wie next.php oder save.php. Und eine nüchterne Einordnung zum Schluss: Die Server sind offline, der Kit-Code in den Händen der rund 1.800 Kunden ist es nicht. Solche Baukästen tauchen erfahrungsgemäß unter neuem Namen wieder auf.

Quellen

• BKA: Schlag gegen die Phishing-Gruppierung Kratos
• ANY.RUN: Kratos PhaaS & Account Takeover (technische Analyse)
• The Hacker News: Police Dismantle Kratos Phishing Kit