Operadores de cibercrime continuam a utilizar técnicas sofisticadas para roubar credenciais de usuários do Microsoft 365, mesmo após a interrupção de serviços de phishing conhecidos. A análise recente de kits de phishing desmantelados revela que o serviço Kratos, embora tenha sido alvo da Operação Olympus Blade em julho de 2026, deixou um legado de ferramentas que podem ser rapidamente reutilizadas por outros atores maliciosos.
O que é o serviço Kratos
O Kratos foi identificado como uma plataforma de Phishing-as-a-Service (PaaS) madura, projetada para roubar credenciais do Microsoft 365 em escala. Diferente de campanhas de phishing pontuais, o Kratos oferecia uma infraestrutura reutilizável que permitia afiliados criarem páginas de login falsas, opções de hospedagem e recursos de evasão que dificultavam a detecção de sign-ins fraudulentos. A plataforma evoluuiu a partir do kit Sneaky2FA, incorporando melhorias que tornavam as tentativas de acesso mais convincentes e difíceis de serem bloqueadas por filtros de segurança tradicionais.
Mecanismo de ataque e técnica AiTM
O ataque operava através de e-mails de phishing que direcionavam as vítimas para serviços que pareciam confiáveis antes de apresentar uma página de login falsa. Ao se posicionar entre a vítima e o sistema de autenticação real da Microsoft, o Kratos conseguia capturar senhas e tokens de sessão ativa. Essa técnica, conhecida como Adversary-in-the-Middle (AiTM), é particularmente perigosa porque pode enfraquecer a proteção oferecida pela autenticação multifator (MFA). Quando um usuário inseria suas credenciais e completava a autenticação multifator, o kit retransmitia a sessão em tempo real e coletava o token de autenticação.
Isso permitia que os operadores acessassem a conta como um usuário já verificado, significando que uma simples redefinição de senha poderia não encerrar a intrusão se sessões ativas e tokens de atualização permanecessem válidos. O impacto pode se estender bem além de uma única caixa de entrada. Atacantes com acesso ao Microsoft 365 podem ler conversações comerciais, alterar instruções de pagamento, roubar arquivos do SharePoint, Teams e OneDrive, ou usar uma conta confiável para enviar novas mensagens de phishing para colegas, clientes e fornecedores.
Operação Olympus Blade e o legado do Kratos
A interrupção relatada do Kratos durante a Operação Olympus Blade em julho de 2026 não removeu o risco mais amplo. O serviço havia apoiado mais de 1.800 assinantes e cerca de 15.000 campanhas de phishing por mês. Outros kits podem rapidamente reutilizar os mesmos métodos para atingir organizações que dependem do Microsoft 365 para o trabalho diário. O Kratos foi projetado como uma ferramenta criminal reutilizável, em vez de uma campanha única. Seus afiliados podiam imitar serviços familiares, como plataformas de compartilhamento de documentos e software criativo, enviando e-mails que roteavam as vítimas através do SharePoint, OneDrive, Microsoft Forms, Canva ou outros serviços web legítimos antes de chegar à armadilha final.
Indicadores de Comprometimento (IoCs)
Os analistas identificaram diversos indicadores de comprometimento associados ao Kratos que devem ser monitorados nas redes corporativas. Entre os domínios observados estão eimex.com.mx, ttressoluciones-my.sharepoint.com, grupohuertassa-my.sharepoint.com, generlabeton.info e feunizar-my.sharepoint.com. Arquivos específicos como barr.svg, lg.svg, dsa.svg e sid.gif foram identificados como ativos de identificação da família Kratos. Endpoints de envio de dados incluem next.php (Kratos V1), save.php (Kratos V2) e mini.php (Kratos V0). Hashes SHA-256 de arquivos associados também foram documentados para detecção em endpoints.
Recomendações para CISOs e equipes de segurança
As organizações devem tratar notificações inesperadas de compartilhamento de documentos e prompts de login como de alto risco, especialmente quando chegam por e-mail, chat ou link de um site desconhecido. Os usuários devem abrir o Microsoft 365 diretamente em vez de fazer login através de links não solicitados. As equipes de segurança devem verificar mensagens suspeitas antes que os funcionários interajam com elas. É crucial monitorar registros de login para locais incomuns, logins rápidos de lugares distantes, dispositivos não familiares e sinais de reutilização de tokens.
A redefinição de senhas deve ser acompanhada pela revogação de sessões ativas e tokens de atualização após uma suposta invasão de conta. As equipes de segurança também devem aplicar controles de acesso condicional, usar autenticação resistente a phishing sempre que possível e revisar logs web para redirecionamentos incomuns ou atividade de autenticação. A caça a ameaças deve focar nas peças reutilizáveis deixadas pela infraestrutura de phishing, não apenas em um domínio que pode desaparecer rapidamente.
Perguntas frequentes
Por que a redefinição de senha não é suficiente?
Porque o Kratos captura tokens de sessão ativos. Mesmo com a senha alterada, o token de atualização pode permitir que o atacante mantenha o acesso até que o token expire ou seja revogado manualmente.
Como o Kratos evita filtros de e-mail?
O modelo de entrega em camadas ajuda os criminosos a evitarem filtros de e-mail, pois o link inicial nem sempre parece apontar para um site de phishing, roteando a vítima através de serviços legítimos primeiro.
Qual é o risco principal para o Microsoft 365?
O risco principal é o acesso completo à conta, permitindo leitura de e-mails, acesso a arquivos sensíveis e uso da conta para phishing interno contra colegas e clientes.