Die Welt der Cyberkriminalität hat gerade eines ihrer produktivsten Werkzeuge verloren. Kratoseine „Phishing-as-a-Service“-Plattform (PhaaS), berüchtigt für seine Fähigkeit, die doppelte Authentifizierung zu umgehen, wurde deaktiviert. Die Operation mit dem Namen „Olympus Blade“ ist das Ergebnis einer Zusammenarbeit deutscher, amerikanischer und indonesischer Behörden. Dies führte zur Neutralisierung seiner Infrastruktur und zur Verhaftung seines mutmaßlichen Drahtziehers.

Wie funktionierte diese Account-Hacking-Maschine?

Kratos war ein echtes Schweizer Taschenmesser für Cyberkriminelle. Dieses Kit wird in Form eines Abonnements angeboten, das oft in Kryptowährungen bezahlt wird, und ermöglicht es selbst den unerfahrensten Hackern, groß angelegte Phishing-Kampagnen zu starten. Sein Geschäftsmodell Phishing-as-a-Service hat es ermöglicht, den Zugang zu besonders raffinierten Betrugstechniken zu demokratisieren..

Der Dienst hat sich auf die Erstellung gefälschter Microsoft-Authentifizierungsseiten spezialisiertso gestaltet, dass sie kaum von den Originalen zu unterscheiden sind. Die oft über E-Mails oder QR-Codes angegriffenen Opfer gaben ahnungslos ihre E-Mail-Adresse und ihr Passwort ein und verrieten so ihren Zugang auf einem Silbertablett an die Gauner.

Warum war es für die Benutzersicherheit so gefährlich?

Kratos‘ wahre Stärke lag in seiner Fähigkeit, die Zwei-Faktor-Authentifizierung zu umgehen (MFA), eine Sicherheitsmaßnahme, die dennoch als robust bekannt ist. Neben dem Diebstahl von Passwörtern war das System auch in der Lage, Sitzungscookies zu stehlen. Diese kleinen temporären Dateien, die vom Browser gespeichert werden, ermöglichen es einer Website, sich an einen Benutzer zu erinnern, der bereits angemeldet ist.

Im Besitz dieses Cookies könnte ein Angreifer direkt auf das Konto des Opfers zugreifen, ohne jemals den zweiten Authentifizierungsfaktor angeben zu müssen (SMS-Code, Anwendung usw.). Der getäuschte Server betrachtete die Verbindung als legitim. Diese Technik, die auch von Tools wie Evilginx verwendet wird, ermöglichte den MFA-Schutz völlig wirkungslos.

Welchen Umfang hat der Polizeieinsatz und welche Folgen hat er?

Die Operation „Olympus Blade“ wurde von der Staatsanwaltschaft Frankfurt und dem Bundeskriminalamt (BKA) in enger Zusammenarbeit mit amerikanischen Strafverfolgungsbehörden durchgeführt. Durch die Offensive konnten mehr als 200 Server neutralisiert werdenwodurch die gesamte Infrastruktur von Kratos außer Betrieb gesetzt wird. Auf der offiziellen Website der Plattform wird jetzt ein FBI-Beschlagnahmungsbanner angezeigt.

Die Untersuchung führte auch zur Identifizierung und Festnahme des mutmaßlichen Entwicklers und technischen Administrators in Indonesien. Die Zahlen sind schwindelerregend: Mehr als 1.800 Kriminelle nutzten Kratosstartet monatlich rund 15.000 Phishing-Kampagnen und generiert seit 2024 mehr als 300.000 Euro Umsatz für seine Macher. Das BKA schätzt, dass Hunderttausende Menschen waren Opfer dieses globalen Netzwerks.