Les autorités allemandes affirment avoir neutralisé la principale infrastructure supportant le kit de phishing-as-a-service (PhaaS) Kratos à la suite d’une opération soutenue par les États-Unis et l’Indonésie.
Des agents de l’Office central de lutte contre la criminalité sur Internet (ZIT) de Francfort-sur-le-Main et de la police criminelle fédérale (BKA) ont décrit Kratos comme l’un des kits PhaaS les plus répandus et les plus dangereux du marché.
En Indonésie, les autorités ont déclaré avoir arrêté le prétendu « développeur et administrateur technique » du kit Kratos. L’annonce du retrait de Kratos ne précise pas si d’autres individus sont poursuivis.
AD ENREGISTREMENT
Selon le ZIT et le BKA, Kratos a permis à des cybercriminels peu qualifiés de récolter des informations d’identification, notamment des mots de passe et des cookies de session, pour contourner la MFA en leur fournissant des pages de phishing convaincantes sur le thème de Microsoft.
AD ENREGISTREMENT
Les criminels utilisant les pages de phishing Kratos ont ciblé des centaines de milliers de victimes dans plus de 30 pays, tandis que l’opération derrière le kit aurait rapporté plus de 300 000 € (342 000 $) depuis 2024.
On estime que plus de 1 800 entreprises criminelles ont utilisé Kratos, responsable d’environ 15 000 campagnes de phishing par mois.
« Chaque campagne individuelle pouvait potentiellement nuire à plusieurs milliers de destinataires dans le monde », ont indiqué les autorités allemandes dans un communiqué.
L’opération a neutralisé plus de 200 serveurs, selon le ZIT et le BKA, sans toutefois préciser comment.
Les méthodes utilisées lors des retraits précédents comprenaient la remise de mandats légaux aux fournisseurs d’infrastructures, tels que la société d’hébergement choisie par Kratos, et la collaboration avec les FAI pour supprimer le trafic ou le trafic en gouffre associé aux adresses IP suspectes.
Le Dr Benjamin Krause, chef du ZIT du parquet de Francfort-sur-le-Main, a déclaré : « Notre approche visant à perturber les forces de l’ordre fonctionne : en plus de la tâche principale consistant à identifier et à poursuivre les accusés, nous avons une fois de plus réussi à démanteler un service en ligne criminel et à contribuer ainsi à une plus grande cybersécurité. »
Carsten Meywirth, chef du département cybercriminalité du BKA, a ajouté : « Quiconque vole des identifiants de connexion en ligne sur de faux sites Web ne devrait pas se sentir en sécurité. Le succès remporté contre le kit de phishing Kratos montre que même les infrastructures de phishing hautement professionnelles peuvent être combattues efficacement.
« Il s’agit d’un travail pionnier et d’un signal clair adressé aux autres cyberacteurs : le phishing ne restera pas impuni et sera systématiquement combattu par le BKA. »
AD ENREGISTREMENT
Plusieurs noms, même objectif
Les autorités allemandes ont fait référence au kit PhaaS uniquement sous le nom de Kratos, bien que des rapports open source l’aient lié à des produits précédemment vendus sous des noms tels que SneakyLog et Sneaky 2FA.
De même, le ZIT et le BKA n’ont mentionné que de fausses pages d’authentification Microsoft parmi les modèles proposés par Kratos. Microsoft, quant à lui, a signalé plus tôt cette année que SneakyLog avait été utilisé pour générer des campagnes de phishing ciblant les citoyens américains avec de faux formulaires fiscaux W-2.
Pas plus tard que le 16 juillet, des magasins de sécurité tels que Heal Security ont signalé que Kratos proposait à ses clients des leurres sur le thème de divers sites Web, notamment SharePoint, OneDrive, Microsoft Forms, Canva, Tilda, etc.
KnowBe4 a ajouté les leurres Adobe à cette liste avec sa propre enquête en février, ce qui a également soulevé des incertitudes quant à la date à laquelle le kit a été mis sur le marché pour la première fois.
Microsoft, qui a déclaré que Kratos était également connu sous le nom de SneakyLog, pense que ce dernier est entré sur le marché des kits de phishing début 2025, bien que KnowBe4 ait déclaré que les premiers signes de Kratos ne sont apparus qu’en janvier 2026.
Brouillant encore davantage le tableau, KnowBe4 n’a pas mentionné SneakyLog ou Sneaky 2FA comme faisant partie du passé de Kratos. Le magasin de sécurité a plutôt déclaré qu’il avait évolué à partir d’une vie antérieure de famille de chevaux de Troie commerciaux et d’infostealers.
Cependant, une chose sur laquelle s’accordent la plupart des rapports open source est que les cibles des clients du kit de phishing sont principalement basées aux États-Unis et en Europe.
AD ENREGISTREMENT
Microsoft a identifié l’industrie manufacturière, la vente au détail et la santé comme les principales industries cibles aux États-Unis, tandis qu’en Europe, les organisations industrielles, les cabinets d’avocats, les institutions polytechniques, les écoles, les PME et autres ont tous été attaqués, selon ANY.RUN. ®
