Deutsche und amerikanische Strafverfolgungsbehörden haben die Infrastruktur eines großen internationalen Phishing-Dienstes stillgelegt. Bei der gemeinsamen Operation wurden mehr als 200 Server der Plattform Kratos abgeschaltet. Über den Dienst konnten Täter täuschend echte Kopien bekannter Internetseiten erstellen und Zugangsdaten von Nutzern stehlen. Dies berichtet die Webseite das-unternehmer-wissen mit einem Link zu spiegel.
Über die Ergebnisse der Ermittlungen informierten das Bundeskriminalamt und die Generalstaatsanwaltschaft Frankfurt am Main. Der mutmaßliche Entwickler des Systems wurde in Indonesien festgenommen. Nach Einschätzung der Ermittler könnten Hunderttausende Menschen in mehr als 30 Ländern von den Aktivitäten des Dienstes betroffen gewesen sein.
Kratos wurde zum Erstellen gefälschter Anmeldeseiten genutzt
Kratos bestand aus einer Sammlung vorgefertigter digitaler Werkzeuge, mit denen sich Phishing-Kampagnen organisieren ließen. Nutzer des Dienstes konnten Internetseiten erstellen, die sich optisch kaum von den echten Anmeldeseiten großer Technologieunternehmen unterschieden.
Besonders häufig wurden offenbar Microsoft-Dienste nachgebildet. Die Opfer gelangten über betrügerische Links auf gefälschte Seiten und gaben dort ihre Benutzernamen und Passwörter ein. Die eingegebenen Daten wurden anschließend automatisch an die Angreifer weitergeleitet.
Die gestohlenen Zugangsdaten konnten für den Zugriff auf E-Mail-Konten, Cloud-Dienste und geschäftliche Benutzerkonten verwendet werden. Nach Angaben des BKA wurden die Daten teilweise auch an andere Kriminelle verkauft.
In weiteren Fällen nutzten Täter kompromittierte Konten, um in Unternehmensnetzwerke einzudringen. Dort konnten sie über Microsoft-basierte Unternehmenslösungen Schadsoftware verbreiten oder weitere interne Zugangsdaten abgreifen.
Das System konnte die Zwei-Faktor-Authentifizierung umgehen
Die besondere Gefahr von Kratos bestand nicht nur im Abfangen von Passwörtern. Die Werkzeuge der Plattform ermöglichten auch den Diebstahl von Cookie-Dateien aktiver Nutzersitzungen.
Solche Cookies bestätigen gegenüber einer Internetseite, dass ein Nutzer bereits erfolgreich angemeldet ist. Gelangte ein Angreifer an eine noch gültige Sitzungsdatei, konnte er unter Umständen auf das Konto zugreifen, ohne erneut ein Passwort oder einen Einmalcode eingeben zu müssen.
Auf diese Weise konnten die Betreiber von Phishing-Kampagnen die Zwei-Faktor-Authentifizierung umgehen. Selbst wenn ein Nutzer seinen Zugang mit einer zusätzlichen Sicherheitsabfrage geschützt hatte, konnte eine gestohlene Sitzung den Zugriff auf das Konto ermöglichen.
Der kriminelle Dienst arbeitete nach einem Mietmodell
Die Ermittler ordnen Kratos dem Modell „Phishing as a Service“ zu. Dabei stellen die Betreiber einer Plattform anderen Kriminellen gegen Bezahlung eine fertige technische Infrastruktur zur Verfügung.
Die Kunden mussten keine eigenen gefälschten Internetseiten entwickeln, keine Server einrichten und keine Systeme zum Abfangen von Zugangsdaten programmieren. Die erforderlichen Funktionen wurden als modulares System angeboten und konnten an bestimmte Unternehmen, Dienste oder Opfergruppen angepasst werden.
Nach Angaben der Strafverfolgungsbehörden wurde Kratos von mehr als 1.800 mutmaßlichen Tätern genutzt. Mithilfe der Plattform sollen monatlich rund 15.000 Phishing-Kampagnen gestartet worden sein.
Das Mietmodell senkte die technischen Voraussetzungen für Cyberkriminalität erheblich. Um eine Kampagne zu starten, mussten die Täter lediglich den Zugang bezahlen, eine passende Vorlage auswählen und die vorbereiteten Links verbreiten.
Mehr als 200 Server wurden abgeschaltet
Die gemeinsame Operation deutscher und amerikanischer Ermittler zielte darauf ab, die technische Infrastruktur von Kratos vollständig zu zerschlagen. Die Behörden brachten mehr als 200 Server unter ihre Kontrolle, die mit dem Betrieb der Plattform und der Durchführung von Phishing-Angriffen in Verbindung standen.
Auf Internetadressen, die zuvor von den Kriminellen genutzt worden waren, wurden offizielle Hinweise zur Beschlagnahmung und Abschaltung veröffentlicht. Die Ermittler erklärten, die Infrastruktur sei vollständig neutralisiert worden.
Damit können über Kratos unterstützte Phishing-Kampagnen nicht mehr fortgesetzt werden. Auch bereits laufende Angriffe wurden unterbrochen.
Die Nutzer der Plattform verloren den Zugriff auf Werkzeuge zur Erstellung gefälschter Internetseiten, auf Systeme zum Abfangen von Daten sowie auf die Verwaltungsoberflächen zur Steuerung ihrer Kampagnen.
Mutmaßlicher Entwickler in Indonesien festgenommen
Im Zuge der internationalen Ermittlungen wurde in Indonesien ein Mann festgenommen, der als mutmaßlicher Entwickler von Kratos gilt. Weitere Angaben zu seiner Staatsangehörigkeit, möglichen Komplizen oder den konkreten strafrechtlichen Vorwürfen wurden zunächst nicht veröffentlicht.
Die Ermittlungen erfolgten in Zusammenarbeit mehrerer Staaten. Die Aktivitäten der Plattform waren grenzüberschreitend organisiert: Server, Entwickler, Nutzer des Dienstes und Opfer befanden sich in verschiedenen Ländern.
Carsten Meywirth, Leiter der Abteilung Cybercrime beim BKA, erklärte, dass Täter, die über gefälschte Internetseiten Zugangsdaten stehlen, sich nicht sicher fühlen dürften. Durch die Abschaltung der Infrastruktur sei verhindert worden, dass weitere Hunderttausende Internetnutzer Opfer solcher Angriffe werden.
Lesen Sie auch: Bei Fortnite traten Login-Probleme auf der PlayStation auf. Auch andere Spiele waren betroffen. Als mögliche Ursache gilt eine Störung bei Amazon AWS.
