2026年7月にPhaaS(フィッシング・アズ・ア・サービス)プラットフォーム「Kratos」が摘発されましたが、脅威の全体像を鈍らせるにはほとんど至っていません。
ComputerSecurity
セキュリティ研究者らは、流出した手口やインフラのパターンが、すでにMicrosoft 365環境を狙う進行中のキャンペーンで再利用されていると警告しています。
「Operation Olympus Blade」の下で摘発が行われ、200台を超えるサーバーの押収とインドネシアにいた主任開発者の逮捕に至ったにもかかわらず、Kratosは事実上、稼働中のサービスから攻撃者が再利用できる設計図へと姿を変えています。
Kratosは、認証情報窃取を工業化し、大規模なアカウント乗っ取り攻撃を可能にするために設計された、非常に高度なPhaaSエコシステムでした。
Microsoft 365への攻撃に特化して構築されたこのプラットフォームは、AiTM(Adversary-in-the-Middle)技術を活用してライブの認証セッションを傍受し、攻撃者は認証情報だけでなく、多要素認証(MFA)を回避できるセッショントークンまで取得できていました。
そのインフラはTycoon、Flowerstorm、Sneaky2FA、EvilProxyといった他の主要なAiTMキットと重なり合っており、サイバー犯罪グループの間でますます好まれる共有バックエンドのエコシステムが存在していることを示しています。
Kratosは最盛期に1,800を超える加入者を抱え、これらの加入者は合計で月間約15,000件のフィッシングキャンペーンを展開していました。
このプラットフォームは分離型のアーキテクチャによって高い耐障害性を確保しており、窃取したデータは暗号化チャネルを通じてリアルタイムでTelegramボットに流出させていました。
この設計により、フィッシングドメインが迅速に閉鎖されても、攻撃者は窃取した認証情報へのアクセスを維持できていました。
ANY.RUNの研究者が実施した技術分析では、barr.svgやlg.svgといったファイルの存在など、このキットに特有のフィンガープリント痕跡が明らかになりました。これらはKratos関連の活動をほぼ正確に特定する手がかりとなります。
これらの識別子は現在、防御側が元のキットのコンポーネントを流用し続ける派生キャンペーンを追跡する際に利用されています。
解体されたKratosフィッシングキット
Kratosは、Sneaky2FAなどの初期のキットから大きく進化し、単純な認証情報の窃取から、セッション全体を乗っ取る手法へと移行しました。
バージョンV0からV2まで追跡された複数世代にわたる開発では、難読化されたコードが段階的に強化され、Adobe Creative CloudやDocuSignのワークフローを模倣する誘導文言など、ブランドになりすますテンプレートも改良されていきました。
このサービスにはさらに、位置情報APIを利用した被害者の自動フィルタリング機能や、CAPTCHAシステムやCloudflare Turnstileによってセキュリティツールの検知を回避する解析対策の仕組みも組み込まれていました。
SecurityProducts & Services
この攻撃チェーンは通常、SharePoint、OneDrive、Microsoft Formsといった信頼された仲介サービスを経由するフィッシングメールから始まり、メールセキュリティゲートウェイを回避できるようになっています。
被害者はその後、検証ゲートを通過させられた上で、正規のMicrosoft認証フローを模倣した非常に巧妙なフィッシングページに誘導されます。
ログイン試行の際、このプラットフォームはAiTMの挙動を示すWebSocket通信を用いて認証データをリアルタイムで中継しつつ、Telegramが制御するインフラへ認証情報を流出させます。
企業にとってこの影響は深刻です。攻撃者はセッショントークンを取得することで、セッションを明示的に無効化しない限り、パスワードをリセットした後でも持続的なアクセスを維持できてしまいます。
これにより、高度なビジネスメール詐欺(BEC)のシナリオや、TeamsやSharePointといったクラウドサービス間の横展開、さらには侵害された通信チャネルを介したサプライチェーン攻撃までもが可能になります。
リアルタイムのIOCフィードは、組織が侵害の発生前に悪意あるドメインやインフラをブロックできるようにすることで、事前対応型の防御をさらに後押しします。
「Operation Olympus Blade」が中核サービスを摘発したものの、Kali365のような代替サービスが急速に台頭していることは、ある厳然たる現実を浮き彫りにしています。それは、PhaaSプラットフォームの進化速度が、取り締まりによる封じ込めの速度を上回っているという現実です。
Microsoft 365が企業運営の中核を担い続ける中、攻撃者はその認証ワークフローを悪用し続けており、戦いの主戦場は脆弱性の悪用から、大規模なアイデンティティ侵害へと移っています。
2026年、AI SOCに求められる機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード
翻訳元: https://gbhackers.com/dismantled-kratos-phishing-kit/
