Contexto da campanha
A operação Kratos é uma campanha de Phishing-as-a-Service (PhaaS) projetada para roubar credenciais do Microsoft 365. Ela está atingindo organizações em todo o mundo, incluindo Estados Unidos, Europa e outras regiões, utilizando iscas convincentes de documentos, faturas e compartilhamento de arquivos. A campanha coloca em risco uma ampla gama de organizações, incluindo pequenas empresas, escritórios de advocacia, escolas e instituições públicas.
A análise da campanha revela que os atacantes estão utilizando técnicas avançadas de evasão para contornar os filtros de e-mail corporativos. Eles também estão utilizando serviços legítimos, como SharePoint e OneDrive, para rotear as vítimas para páginas de login falsas. Isso torna a detecção mais difícil para as equipes de segurança.
Técnicas de evasão e vetores de ataque
O Kratos utiliza uma combinação de técnicas para evadir a detecção e comprometer as credenciais das vítimas. Os atacantes começam com um e-mail que afirma que um documento foi compartilhado, uma fatura precisa de revisão ou uma ação do DocuSign está aguardando. Em 114 sessões observadas, o e-mail malicioso já havia passado pelos filtros de e-mail corporativos.
As vítimas são frequentemente roteadas por meio de serviços confiáveis antes de chegar à página de roubo de credenciais. O SharePoint e o OneDrive foram os principais caminhos de entrega, mas os atacantes também usaram Microsoft Forms, Canva, Tilda e serviços legítimos de compartilhamento de arquivos. Antes de exibir a página de login falsa, o Kratos comumente apresenta uma tela de verificação Cloudflare Turnstile.
Análise técnica do kit de phishing
O kit de phishing Kratos evoluiu de uma isca V0 "Acesso Seguro ao Arquivo" para páginas V1 e V2 que imitam mais de perto as telas de login do Microsoft. As versões mais recentes usam ativos de página e rotinas de coleta diferentes, mas domínios compartilhados e arquivos idênticos os conectam à mesma operação mais ampla.
A combinação V1 de `barr.svg` e `lg.svg` é a impressão digital mais forte conhecida. Os arquivos apareceram juntos em 1.397 sessões e produziram 90% de recall com uma taxa de falso positivo próxima de zero nos testes dos pesquisadores. Isso torna a combinação útil para caças a ameaças e detecções SIEM.
Indicadores de comprometimento (IOCs)
As equipes de segurança devem monitorar os seguintes indicadores de comprometimento para detectar a campanha Kratos:
- Arquivos de página de phishing com ativos como `barr.svg`, `lg.svg`, `ani.gif`, `res.css`, `styles.css`.
- Endpoints de exfiltração como `PTTSOftmini.php`, `next.php`, `nex.php`, `n3xt.php`, `officerseur.php`, `save.php`.
- Domínios associados como `dwbud.vilaribit.com`, `abal.my`, `starwellmedia.com`, `aabiz.de`, `aspireglobal.ltd`, `buenne.de`, `dufllot.sbs`, `enerdizerandtron.de`, `espaciocf.de`.
- Endereço IP do operador `41.128.0.142` (Egito).
Recomendações para CISOs e equipes de SOC
Para mitigar os riscos associados à campanha Kratos, as organizações devem adotar as seguintes medidas:
- Correlacionar solicitações de ativos, comportamento da página de phishing, endpoints de coleta de credenciais e caminhos de entrega em vez de confiar em um sinal fraco.
- Bloquear domínios descartáveis controlados por atacantes, mas revisar domínios pai compartilhados antes de bloqueá-los.
- Reportar sites comprometidos para remoção, mas monitorar redes em nuvem amplas e infraestrutura Cloudflare em vez de bloquear em massa.
- Para coleta básica de credenciais, os respondedores devem redefinir senhas e verificar configurações de autenticação multifator.
- Para roubo de sessão ou phishing AiTM suspeito, as equipes devem revogar sessões ativas e atualizar tokens, inspecionar regras de caixa de entrada e investigar logins não familiares.
Conclusão
A campanha Kratos representa uma ameaça significativa à segurança das organizações, explorando a confiança dos usuários em serviços legítimos do Microsoft 365. As equipes de segurança devem estar atentas aos indicadores de comprometimento e adotar medidas proativas para mitigar os riscos. A colaboração entre as organizações e os fornecedores de segurança é essencial para combater essa ameaça em evolução.