Kratos-Netzwerk zerschlagen: 200 Server, 1.800 Kunden, 15.000 Angriffe

Deutsche, US-amerikanische und indonesische Ermittler haben das Kriminelle-Netzwerk „Kratos“ zerschlagen. Die Plattform ermöglichte tausendfache Angriffe auf Microsoft-365-Nutzer weltweit.

Operation Olympus Blade: 200 Server beschlagnahmt

Die Aktion trug den Namen „Operation Olympus Blade“. Beamte stellten mehr als 200 Server sicher und nahmen den mutmaßlichen Hauptentwickler der Plattform in Indonesien fest. Seit 2024 soll der Betreiber rund 300.000 Euro mit dem Verkauf spezialisierter Werkzeuge an kriminelle Gruppen verdient haben.

Die Plattform arbeitete hochgradig automatisiert. Experten des Bundeskriminalamts (BKA) sprechen von einer „Industrialisierung des Phishing-Marktes“. Das Geschäftsmodell: Kriminelle mieteten die Infrastruktur gegen Bezahlung – ohne eigene technische Kenntnisse.

1.800 Kunden, 15.000 Kampagnen pro Monat

Das Ausmaß ist erschreckend. Mehr als 1.800 zahlende Kunden nutzten Kratos für ihre Angriffe. Monatlich starteten sie schätzungsweise 15.000 Phishing-Kampagnen. Die Opfer saßen in mindestens 35 Ländern – das Hauptziel: Microsoft-365-Zugangsdaten und Sitzungscookies.

Rekord-Schäden durch Phishing zeigen, wie verwundbar Unternehmen heute sind, wenn sie sich auf veraltete Sicherheitskonzepte verlassen. In diesem kostenlosen Anti-Phishing-Paket erfahren Sie, wie Sie Ihr Unternehmen wirksam absichern und Angriffe stoppen, bevor sie entstehen. In 4 Schritten zum sicheren Unternehmen

Besonders perfide: Die Plattform umging sogar die Zwei-Faktor-Authentifizierung (MFA). Eine Technik namens „Adversary-in-the-Middle“ (AiTM) fing die Anmeldedaten ab, bevor sie den eigentlichen Server erreichten. Um Sicherheitsfilter zu umgehen, missbrauchten die Angreifer Cloud-Dienste wie SharePoint, OneDrive oder Microsoft Forms. Automatisierte CAPTCHA-Umgehungen stellten sicher, dass die betrügerischen Links ihre Ziele erreichten.

Neue Gefahr: Device-Code-Phishing

Doch die Zerschlagung von Kratos ist nur ein Etappensieg. Sicherheitsforscher beobachten bereits die nächste Generation von Angriffswerkzeugen. Im Fokus: das „Kali365“-Kit, das eine Methode namens Device-Code-Phishing nutzt.

Seit Mai 2026 verfolgen Analysten eine globale AiTM-Kampagne. Die Angreifer zielen auf Universitäten, Großkonzerne und internationale Organisationen – darunter die Vereinten Nationen und EU-Behörden. Die Masche: Sie kapern Outlook-Konten und versenden E-Mails mit angeblichen Bestellanfragen. Die Empfänger werden aufgefordert, einen Code auf einer legitimen Microsoft-Anmeldeseite einzugeben.

Der Trick: Der Code stammt vom Angreifer. Wer ihn eingibt, gewährt dem Kriminellen unwissentlich dauerhaften Zugriff auf E-Mails, SharePoint und OneDrive. Die Sicherheitsforscher beobachteten mehrere Kits in diesen Kampagnen – neben Kali365 auch EvilProxy und FlowerStorm. Die Täter wechseln ständig die Domains, um nicht entdeckt zu werden.

Angreifer nutzen immer perfidere Methoden wie CEO-Fraud und psychologische Tricks, um an sensible Firmendaten zu gelangen. Ein neuer Gratis-Report enthüllt die aktuellen Strategien der Cyberkriminellen und zeigt Ihnen, wie Sie diese Maschen rechtzeitig entlarven. Jetzt kostenlosen Anti-Phishing-Report abrufen

So schützen sich Unternehmen

Die Entwicklung zwingt Unternehmen zum Umdenken. Herkömmliche Passwortwechsel helfen nicht mehr – die Angreifer haben sich bereits Sitzungstoken und OAuth-Berechtigungen gesichert. Experten empfehlen:

• Phishing-resistente Authentifizierung: Verfahren, die keine übertragbaren Codes oder Token verwenden
• Aktive Sitzungswiderrufe: Alte Sitzungen regelmäßig beenden
• Strenge OAuth-Prüfung: In den Entra-ID-Protokollen nach ungewöhnlichen Berechtigungen suchen
• Device-Code-Fluss einschränken: Diese Funktion nur dort erlauben, wo sie zwingend nötig ist

Die Zahlen belegen die Dringlichkeit: Allein Kali365 taucht wöchentlich in über 80 öffentlichen Sandbox-Sitzungen auf. Die Angreifer nutzen gezielt .de-Domains und zielen auf Fertigungsindustrie, Behörden und Gesundheitswesen.

de | wissenschaft | 69842558 |