تفكيك Kratos يترك خطر سرقة جلسات Microsoft 365 قائما
أخرجت جهات إنفاذ القانون في ألمانيا والولايات المتحدة أكثر من 200 خادم لأداة التصيد Kratos من الخدمة، لكن المحققين ما زالوا يربطونها بنحو 1,800 عميل وهجمات سرقة جلسات ضد Microsoft 365.
فقدت أداة التصيد Kratos شبكة خوادمها الأساسية، لكن قاعدة العملاء نفسها والشفرة نفسها يمكن أن تعودا على بنية جديدة. أفادت The Hacker News بأن جهات إنفاذ القانون في ألمانيا والولايات المتحدة فككت خدمة سرقة جلسات Microsoft 365 بعدما ربطها المحققون بنحو 1,800 عميل يدفعون مقابلا وبنحو 15,000 حملة تصيد شهريا.
تقدم العملية مثالا ملموسا لفرق الأمن على أن المصادقة متعددة العوامل التقليدية لا تكفي عندما يلتقط المهاجم رمز جلسة نشطا بدلا من كلمة مرور فقط.
أكثر من 200 خادم خرجت من الخدمة
أعلنت وحدة مكافحة جرائم الإنترنت في مكتب الادعاء العام في فرانكفورت ZIT مع المكتب الاتحادي الألماني للشرطة الجنائية BKA يوم الاثنين سحب أكثر من 200 خادم من الخدمة. واعتقلت السلطات الإندونيسية الرجل الذي يحدده المحققون الألمان بوصفه مطور Kratos ومشغله.
يقدر المحققون أن الخدمة وصلت إلى مئات الآلاف من الضحايا منذ أواخر 2024، في أكثر من 30 دولة، مع تركيز في أوروبا والولايات المتحدة. وتقدر السلطات أيضا أن المشغلين حققوا أكثر من 300,000 يورو منذ 2024.
بيع Kratos كخدمة تصيد جاهزة وليس كحملة واحدة. دفع العملاء بالعملات المشفرة، واستخدموا موقعا مخصصا ومتجرا على Telegram، وأداروا حملاتهم عبر الخدمة. ووصف BKA هؤلاء العملاء بأنهم أصحاب امتياز، وهو وصف يوضح كيف جرى تغليف منظومة تصيد عاملة لمشغلين أقل خبرة.
ملفات الجلسات جعلت تجاوز MFA أسهل
لم تكن أهم قدرة في الأداة هي سرقة كلمات المرور وحدها. قال BKA إن Kratos صمم لجمع ملف تعريف ارتباط الجلسة مع بيانات تسجيل الدخول، ما قد يسمح للمهاجم بالدخول إلى الحساب بصفة المستخدم حتى بعد اكتمال المصادقة الثنائية.
وجدت ANY.RUN وضعين للتشغيل بعد تحليل الأداة عكسيا: صفحة PHP بسيطة لجمع بيانات الاعتماد، ووكيل Node.js عكسي يمرر تسجيل الدخول إلى Microsoft في الوقت الحقيقي حتى يمكن التقاط الجلسة الناتجة. هذا النمط المعروف باسم adversary-in-the-middle يحول صفحة التصيد الناجحة إلى قناة وصول نشطة، لا إلى قاعدة بيانات كلمات مرور مسروقة فقط.
حسابات Microsoft 365 تحتاج إلى فحص الجلسات
حذر BKA من أن بيانات الاعتماد المسروقة يمكن أن يعاد بيعها، أو استخدامها في تصيد إضافي، أو توسيعها داخل بيئات Microsoft 365 وصولا إلى اختراق البريد الإلكتروني التجاري. هذا المسار يفرض على فرق الاستجابة للحوادث تسلسلا علاجيا مختلفا عن إعادة تعيين كلمة المرور العادية.
تخطر Microsoft المستخدمين الذين ظهرت حساباتهم في الحملات. عندما يكون Kratos قد جمع بيانات اعتماد فقط، تعالج إعادة تعيين كلمة المرور وفحص MFA التعرض المباشر؛ أما عندما يلتقط وضع الوكيل العكسي جلسة نشطة، فيجب إلغاء الجلسة نفسها ونقل الحسابات عالية القيمة إلى تسجيل دخول مقاوم للتصيد.
لدى المدافعين أيضا مؤشر بحث من الأداة. وجدت ANY.RUN أن صفحات تسجيل الدخول في Kratos كانت تحمل غالبا الأصلين barr.svg وlg.svg معا، ثم ترسل بيانات الاعتماد المسروقة إلى نقاط نهاية مثل next.php أو save.php. ووفق ANY.RUN، يبلغ هذا الاقتران نسبة استدعاء 90% مع إيجابيات كاذبة شبه معدومة.
توقف مصادرة الخوادم بنية Kratos الحالية، بينما لا يحدد السجل العام نحو 1,800 عميل ولا يوضح ما إذا كانت بنية بديلة نشطة بالفعل.
Summary version for Medium
Kratos Takedown Leaves Microsoft 365 Session-Theft Risk Unfinished
What the announcement means beyond the headline
Quick Summary: German and US law enforcement took more than 200 Kratos phishing-kit servers offline, but investigators still tie the service to roughly 1,800 customers and session-theft attacks against Microsoft 365.
More Than 200 Servers Went Offline
The Frankfurt public prosecutor's cybercrime unit ZIT announced with Germany's Federal Criminal Police Office on Monday that more than 200 servers had been pulled offline. Indonesian authorities arrested the man German investigators identify as the developer and operator of Kratos.
Session Cookies Made MFA Easier To Bypass
The kit's most important capability was not password theft alone.
- Point 1: The central topic is cybersecurity, with the announcement framed around concrete operating detail.
- Point 2: The BKA said Kratos was designed to collect the session cookie together with the login, which can let an attacker enter an account as the user even after two-factor...
The useful takeaway is the operating constraint behind the announcement, not the announcement alone.
Microsoft 365 Accounts Need Session Checks
The BKA warned that stolen credentials could be resold, reused for further phishing or expanded through Microsoft 365 environments into business email compromise. That path gives incident responders a different remediation sequence from an ordinary password reset.
Read the Full Deep Dive
Want to explore the complete technical analysis, enterprise trade-offs, and detailed metrics?
Read the full article originally published at SendTech Times
