Nombres Alternativos / Aliases
- Kratos Phishing-as-a-Service (PhaaS) (Nombre principal del kit)
- SneakyLog (Identificación por Microsoft Threat Intelligence)
- Sneaky2FA (Versión anterior del kit)
- Operation Olympus Blade (Nombre de la operación policial)
Fecha de Detección / Actividad
- Primera aparición (Sneaky2FA) : Octubre de 2024
- Evolución a Kratos: Principios de 2025
- Campo de operadores activo desde: Septiembre de 2025
- Campaña documentada (Microsoft) : 10 de febrero de 2026 (100 organizaciones objetivo, mayoría en EE.UU.)
- Takedown : 20 de julio de 2026
- Víctimas desde finales de 2024: Cientos de miles
- Países afectados: Más de 30 (concentración en Europa y EE.UU.)
- Servidores incautados: Más de 200
- Clientes del kit: Aproximadamente 1,800
- Campañas mensuales: ~15,000
- Estado: Infraestructura principal desmantelada; arresto del desarrollador y administrador técnico en Indonesia
Actor de Amenaza (Atribución)
| Característica
|
Detalle
|
| Nombre del Actor
|
Desconocido (operador de Kratos / SneakyLog)
|
| Vínculo Gubernamental
|
Ninguno
|
| Tipo de Actor
|
Ciberdelincuencia / Phishing-as-a-Service (PhaaS)
|
| Sofisticación
|
ALTA. El operador demuestra:
|
- Modelo de negocio "Franchise" con más de 1,800 clientes
- Desarrollo de un kit en tres generaciones (V0, V1, V2)
- Integración de múltiples sistemas anti-bot
- Uso de infraestructura de confianza para evasión (SharePoint, OneDrive, Canva, Microsoft Forms)
- Capacidad de AiTM (Adversary-in-the-Middle) con Node.js reverse proxy para robo de sesiones activas y bypass de MFA
- Ofuscación de código y evolución constante para evadir firmas de seguridad | | Motivación | Financiera (más de 300,000 euros en ingresos desde 2024) | | Modelo de negocio | PhaaS con suscripción en criptomonedas, registro a través de sitio web dedicado y tienda en Telegram |
Resumen Ejecutivo
El 20 de julio de 2026, en el marco de la Operación Olympus Blade, las autoridades alemanas (ZIT y BKA), en colaboración con agencias de EE.UU. e Indonesia, desmantelaron la infraestructura central de Kratos , descrito por los investigadores como uno de los kits de phishing más utilizados a nivel mundial . El desarrollador y administrador técnico del servicio fue arrestado en Indonesia por la policía local .
El corazón del ataque: robo de sesiones
Kratos no se limitaba a robar contraseñas. Su característica más peligrosa era la capacidad de robar la cookie de sesión junto con las credenciales de inicio de sesión . Esta cookie es suficiente para que un atacante acceda a una cuenta de Microsoft 365 como si fuera el usuario legítimo, eludiendo por completo la autenticación de dos factores (MFA) . El kit lo lograba mediante un modo de proxy inverso en Node.js que retransmitía el inicio de sesión en tiempo real a Microsoft y capturaba la sesión resultante, una técnica conocida como Adversary-in-the-Middle (AiTM) .
El negocio de la estafa: Phishing-as-a-Service
Kratos operaba como un "franchise" criminal . Más de 1,800 ciberdelincuentes pagaban en criptomonedas para usar el kit y lanzar alrededor de 15,000 campañas de phishing por mes a través de un panel de control y una tienda en Telegram . Estas campañas afectaban a cientos de miles de víctimas en más de 30 países, concentradas en Europa y EE.UU., generando más de 300,000 euros en ingresos para el operador del kit desde finales de 2024 .
Vector de Ataque / Métodos de Distribución
Técnicas de ingeniería social y evasión
| Técnica
|
Descripción
|
| Señuelos temáticos
|
Correos electrónicos con documentos compartidos, facturas o acciones de firma (ej. W-2, SharePoint, DocuSign)
|
| Redirección a través de servicios de confianza
|
SharePoint, OneDrive, Microsoft Forms, Canva y Tilda para que los enlaces maliciosos parezcan legítimos
|
| Anti-bot
|
Uso de Cloudflare Turnstile y otros CAPTCHAs para filtrar escáneres automatizados y analistas de seguridad
|
| Doble modo de operación
|
Modo PHP simple: solo roba credenciales.
Modo Node.js (AiTM): retransmite el login en tiempo real para robar la sesión y bypassear el MFA
|
| Dominios desechables y sitios comprometidos
|
Instalaciones en dominios de corta duración, sitios WordPress comprometidos y servidores de hosting compartido
|
Generaciones del kit (ANY.RUN)
| Generación
|
Identificadores
|
Exfiltración
|
Uso
|
| V0
|
Ruta /PTT/SOft/
|
mini.php
|
Temprana, "Secure File Access"
|
| V1 (dominante)
|
barr.svg + lg.svg
|
next.php
|
Principal generación, 1,397 sesiones
|
| V2
|
dsa.svg + sid.gif + imag.jpg
|
save.php
|
Ofuscado, 231 sesiones
|
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK)
|
Técnica / Subtécnica
|
Descripción / Implementación
|
| Initial Access (TA0001)
|
Phishing: Spearphishing Link (T1566.002)
|
Correos con enlaces a páginas de phishing de Microsoft 365
|
| Execution (TA0002)
|
User Execution: Malicious Link (T1204.001)
|
Víctima hace clic en enlace y completa autenticación
|
| Defense Evasion (TA0005)
|
Masquerading (T1036)
|
Suplantación de páginas de inicio de sesión de Microsoft y servicios de confianza
|
| Defense Evasion (TA0005)
|
Obfuscated Files or Information (T1027)
|
Ofuscación de código JavaScript (V2) y rotación de dominios
|
| Defense Evasion (TA0005)
|
Virtualization/Sandbox Evasion (T1497)
|
Uso de Cloudflare Turnstile para filtrar escáneres automatizados y sandboxes
|
| Credential Access (TA0006)
|
Credentials from Password Stores (T1555)
|
Robo de contraseñas de Microsoft 365
|
| Credential Access (TA0006)
|
Steal Application Access Token (T1528)
|
Robo de cookies de sesión y bypass de MFA vía AiTM
|
| Command and Control (TA0011)
|
Application Layer Protocol: Web Protocols (T1071.001)
|
Comunicación HTTP/HTTPS con servidores PHP y Node.js
|
| Exfiltration (TA0010)
|
Exfiltration Over Web Service (T1567)
|
Envío de credenciales y cookies a endpoints como next.php o save.php
|
| Impact (TA0040)
|
Account Access Removal (T1531)
|
Toma de control de cuentas de Microsoft 365
|
Flujo de Ataque (Cyber Kill Chain)
| Fase
|
Descripción
|
| 1. Reconocimiento
|
Selección de objetivos por parte de los "franchisees" de Kratos (industrias, países)
|
| 2. Armamento
|
Configuración de dominio, selección de plantilla (ej. Microsoft), y método de exfiltración desde el panel de Kratos
|
| 3. Entrega
|
Envío de correos de spear-phishing con enlaces que pasan por servicios de confianza (SharePoint, OneDrive)
|
| 4. Explotación (social)
|
La víctima pasa el filtro de Cloudflare Turnstile y llega a la página falsa de Microsoft
|
| 5. Captura de Credenciales
|
La víctima introduce su contraseña; el kit la captura y la envía al atacante. Si está en modo AiTM, también roba la cookie de sesión
|
| 6. Toma de Cuenta
|
El atacante utiliza las credenciales o la cookie robada para acceder a la cuenta sin necesidad de MFA
|
| 7. Acción sobre Objetivos
|
La cuenta comprometida se usa para Business Email Compromise (BEC), robo de datos, o se vende en el mercado negro
|
Infraestructura Utilizada
Dominios y plataformas
| Tipo
|
Indicador
|
| Dominios V1/V2
|
razen[.]online, theoceanac[.]online, jumpast[.]es, enerdizerandtron.de
|
| Dominio V0
|
dwbud.vilaribit.com
|
| Plataformas de confianza abusadas
|
SharePoint, OneDrive, Microsoft Forms, Canva, Tilda, systeme.io
|
| Servicio anti-bot
|
Cloudflare Turnstile
|
Hashes de assets (para detección)
| Archivo
|
Hash (SHA256)
|
lg.svg
|
cd231b895bbcd7154b81df1e065bf02f1ec667b920c8b6d23308cd509833b5ea
|
barr.svg
|
949895df17148c5ea29f190d2619a14b3ec648425b9cc3c5a1423553c16f3898
|
ani.gif
|
9d1a1a5e3b5e5de8a6c76ded7a01fa01709d426232b0048c9ee6ba0c5c1b8b42
|
Endpoints de exfiltración
| Generación
|
Endpoints
|
| V0
|
/PTT/SOft/mini.php
|
| V1
|
next.php, nex.php, n3xt.php, officers*eur.php
|
| V2
|
save.php
|
Impacto y Riesgo
| Categoría
|
Nivel
|
Descripción
|
| Alcance
|
MUY ALTO
|
Más de 30 países, cientos de miles de víctimas, 1,800 criminales
|
| Volumen de ataque
|
MUY ALTO
|
15,000 campañas de phishing al mes
|
| Capacidad de evasión
|
ALTA
|
Bypass de MFA con AiTM, integración con Cloudflare Turnstile
|
| Impacto final
|
MUY ALTO
|
Toma de cuentas de Microsoft 365, acceso a correos, archivos, Teams, y potencial para BEC
|
Consecuencias de una cuenta comprometida
| Consecuencia
|
Gravedad
|
Detalle
|
| Acceso a información sensible
|
Crítica
|
Correos electrónicos, archivos de SharePoint y OneDrive, mensajes de Teams
|
| Business Email Compromise (BEC)
|
Crítica
|
Uso de la cuenta para estafar a clientes y proveedores
|
| Pivote a otros sistemas
|
Alta
|
Las credenciales robadas pueden ser utilizadas para acceder a otras aplicaciones y servicios conectados al SSO
|
| Venta de datos
|
Alta
|
La información robada puede venderse en mercados ilegales o usarse para extorsión
|
Recomendaciones de Mitigación
Para organizaciones
| Acción
|
Prioridad
|
Descripción
|
| Revocar sesiones activas
|
CRÍTICA
|
Si se sospecha de un ataque AiTM, el simple cambio de contraseña no es suficiente. Es necesario revocar las sesiones activas y los tokens de refresco desde Azure AD
|
| Migrar a autenticación resistente al phishing
|
ALTA
|
Implementar FIDO2/WebAuthn (claves de seguridad físicas) para cuentas de alto valor
|
| Monitoreo de logs de inicio de sesión
|
ALTA
|
Buscar inicios de sesión desde ubicaciones o dispositivos inusuales
|
| Deshabilitar flujo de código de dispositivo
|
ALTA
|
Si no es necesario, deshabilitar el Device Code Flow para evitar ataques de token OAuth
|
| Educación de usuarios
|
ALTA
|
Entrenar a los empleados para identificar correos de phishing y no introducir credenciales en páginas sospechosas
|
Pasos de remediación para víctimas
| Paso
|
Descripción
|
| 1. Reset de contraseña
|
Si el ataque fue solo credenciales, cambiar la contraseña y verificar MFA
|
| 2. Revocación de sesiones
|
Si el ataque fue AiTM, revocar TODAS las sesiones y tokens de refresco desde Azure AD
|
| 3. Revisión de reglas de buzón
|
Buscar reglas de reenvío no autorizadas
|
| 4. Revisión de aplicaciones OAuth
|
Buscar aplicaciones OAuth no autorizadas con acceso a datos
|
Detección (ANY.RUN)
La firma principal de detección para Kratos es la presencia de barr.svg y lg.svg en la misma sesión, con una tasa de acierto del 90% y casi cero falsos positivos .
Contexto Más Amplio: Takedowns de PhaaS
| Operación
|
Kit
|
Fecha
|
Alcance
|
| Olympus Blade
|
Kratos / Sneaky2FA
|
Julio 2026
|
200 servidores, 1,800 clientes, cientos de miles de víctimas
|
| —
|
Tycoon 2FA
|
Marzo 2026
|
Desmantelamiento con apoyo de Trend Micro y Europol
|
| Operation Endgame
|
StealC, etc.
|
—
|
Incautación de dominios y servidores asociados a Kratos
|
Opiniones de Expertos
"Anyone who steals login credentials online using fake websites shouldn't feel safe. The success against the Kratos phishing kit shows that even highly professional phishing infrastructures can be effectively combated."
— Carsten Meywirth, Jefe de la División de Ciberdelincuencia del BKA
"Our approach of disruptive law enforcement works: we have once again succeeded in dismantling a criminal online service."
— Dr. Benjamin Krause, Jefe de la ZIT de la Fiscalía de Fráncfort
"Kratos is a mature Phishing-as-a-Service operation targeting Microsoft 365 users across the US, Europe, and other regions. By combining trusted platforms, anti-bot checks, and convincing login pages, it helps attackers steal credentials while delaying detection and response."
— ANY.RUN
Referencias y Fuentes
- The Hacker News. (2026, 22 de julio). Police Dismantle Kratos Phishing Kit Built to Steal Microsoft 365 Sessions and Bypass MFA.
- ANY.RUN. (2026, 13 de julio). Kratos PhaaS Targets US and EU: How to Reduce Microsoft 365 Account Takeover Risk.
- The Register. (2026, 21 de julio). Kratos phishing-as-a-service kit loses its battle with international law enforcement.
- Help Net Security. (2026, 22 de julio). Police dismantle Kratos phishing platform behind 15,000 monthly campaigns.
- BleepingComputer. (2026, 21 de julio). Police dismantle Kratos phishing platform, arrest developer.
- Trend Micro. (2026, 21 de julio). Law Enforcement Takes Down Kratos/Sneaky2FA Phishing Service, With an Assist From TrendAI™.
- IT Boltwise. (2026, 22 de julio). Kratos-Phishingkit ausgeschaltet: Session-Cookie statt Passwort und MFA-Falle.
- CyberSecurityNews. (2026, 15 de julio). Kratos PhaaS Attacking Microsoft 365 Users Across the US, Europe to Steal Credentials.
Historial de Revisiones
| Fecha
|
Versión
|
Autor
|
Cambios Realizados
|
| 2026-07-23
|
1.0
|
Fernando Vargas Hincapié
|
Creación inicial basada en informes de The Hacker News, ANY.RUN, The Register, Help Net Security, BleepingComputer, Trend Micro, IT Boltwise, CyberSecurityNews y otros
|
Indicadores de Compromiso (IOCs)
Patrones de detección (ANY.RUN)
| Generación
|
Patrón de assets
|
Endpoint de exfiltración
|
| V1
|
barr.svg + lg.svg
|
next.php, nex.php, n3xt.php, officers*eur.php
|
| V2
|
dsa.svg + sid.gif + imag.jpg
|
save.php
|
| V0
|
Ruta /PTT/SOft/
|
mini.php
|
Hashes de assets (para detección)
| Archivo
|
Hash (SHA256)
|
lg.svg
|
cd231b895bbcd7154b81df1e065bf02f1ec667b920c8b6d23308cd509833b5ea
|
barr.svg
|
949895df17148c5ea29f190d2619a14b3ec648425b9cc3c5a1423553c16f3898
|
ani.gif
|
9d1a1a5e3b5e5de8a6c76ded7a01fa01709d426232b0048c9ee6ba0c5c1b8b42
|
Dominios observados
| Dominio
|
Generación
|
razen[.]online
|
V1/V2
|
theoceanac[.]online
|
V1/V2
|
jumpast[.]es
|
V1/V2
|
enerdizerandtron.de
|
V1/V2
|
dwbud.vilaribit.com
|
V0
|
Comportamiento a monitorear
| Categoría
|
Comportamiento
|
| Tráfico de red
|
Peticiones HTTP a endpoints como next.php o save.php en dominios sospechosos
|
| Actividad de red
|
Conexiones WebSocket en páginas de inicio de sesión de Microsoft (posible AiTM)
|
| Páginas de phishing
|
Páginas que cargan barr.svg y lg.svg en el mismo contexto
|
| Correos
|
Correos con asuntos de documentos compartidos, facturas o W-2 que redirigen a través de plataformas legítimas
|
Etiquetas / Categorías
kratos-phaas sneaky2fa-sneakylog operation-olympus-blade aiTM-phishing mfa-bypass microsoft-365-credential-theft phishing-kit-takedown bka-zit-law-enforcement nodejs-reverse-proxy session-cookie-theft business-email-compromise phaaas-franchise-model cloudflare-turnstile-abuse
