Laut der gemeinsamen Mitteilung von ZIT und BKA war Kratos als eine Art Franchise organisiert. Die vom BKA als Franchisenehmer bezeichneten Kunden zahlten in Kryptowährung und registrierten sich über eine eigens dafür betriebene Website sowie einen Telegram-Shop. Darüber verwalteten sie ihre Konten und organisierten Kampagnen. Nach Einschätzung der Ermittler konnten damit auch Angreifer mit geringen technischen Kenntnissen ein funktionierendes Adversary-in-the-Middle-Kit gegen Ziele einsetzen.

Technisch bot Kratos mehr als klassische Phishing-Seiten. ANY.RUN, das das Kit rückentwickelt hat, beschreibt zwei Betriebsarten: eine einfache PHP-Seite, die nur Zugangsdaten abgreift, und einen auf Node.js basierenden Reverse-Proxy, der die Anmeldung in Echtzeit an Microsoft weiterleitet und dabei die entstehende Sitzung abfängt. Genau diese zweite Variante ermöglichte den Diebstahl des Sitzungs-Cookies. Nach Angaben des BKA reicht ein solches Cookie aus, um sich als Nutzer Zugang zum Konto zu verschaffen und die Zwei-Faktor-Authentifizierung zu umgehen.

Microsoft Threat Intelligence verfolgt dasselbe Kit unter dem Namen SneakyLog. Microsoft beschreibt es als Phishing-as-a-Service-Plattform, die seit mindestens Anfang 2025 Zugangsdaten und Zwei-Faktor-Codes bei Microsoft 365 ins Visier nimmt. Das Unternehmen beobachtete auch eine konkrete Kampagne: Am 10. Februar verschickten die Betreiber steuerbezogene E-Mails an rund 100 Organisationen, überwiegend in den USA und aus den Bereichen Fertigung, Einzelhandel und Gesundheitswesen. Die Nachrichten enthielten jeweils ein W-2-Dokument mit einem personalisierten QR-Code, der zu einer gefälschten Microsoft-365-Anmeldeseite führte.

Die Ermittler beziffern die Einnahmen der Betreiber seit 2024 auf mehr als 300.000 Euro. Jede einzelne Kampagne konnte nach ihrer Einschätzung mehrere Tausend Empfänger erreichen. Seit Ende 2024 zählten die Behörden mehrere Hunderttausend Opfer in mehr als 30 Ländern.

Nach Darstellung des BKA endete der Missbrauch gestohlener Microsoft-Anmeldedaten häufig nicht beim ersten Kontozugriff. Die erbeuteten Zugangsdaten konnten für weitere Phishing-Angriffe genutzt, an andere Kriminelle verkauft oder als Ausgangspunkt für eine Ausbreitung in Unternehmensumgebungen auf Basis von Microsoft 365 verwendet werden.

Microsoft benachrichtigt nach eigenen Angaben Nutzer, die in den Kampagnen erfasst wurden. Wie Betroffene reagieren müssen, hängt laut Unternehmen von der jeweiligen Angriffsmethode ab. Wurden nur Zugangsdaten abgegriffen, genügen Passwortwechsel und eine Überprüfung der MFA-Einstellungen. Wurde dagegen über den Reverse-Proxy eine laufende Sitzung übernommen, bleibt diese auch nach einem Passwortwechsel bestehen und muss ausdrücklich widerrufen werden; besonders schützenswerte Konten sollten dann auf phishing-resistente Anmeldeverfahren umgestellt werden.

Für die Suche nach Spuren des Kits nennt ANY.RUN ein wiederkehrendes Merkmal: Die Anmeldeseiten laden fast immer die zusammengehörigen Dateien barr.svg und lg.svg und übermitteln gestohlene Zugangsdaten anschließend an Endpunkte wie next.php oder save.php. Diese Kombination bewertet ANY.RUN mit einer Trefferquote von 90 Prozent bei nahezu keinen Fehlalarmen.

Nach Angaben des BKA können über Kratos betriebene Kampagnen vorerst nicht weiterlaufen, weil die Server abgeschaltet sind. Unberührt davon bleiben jedoch die rund 1.800 Kunden und der bereits in ihrem Besitz befindliche Code. ANY.RUN beobachtete Kratos auf Wegwerf-Domains, kompromittierten WordPress-Seiten und bei Hosting-Angeboten, die mit anderen Adversary-in-the-Middle-Kits geteilt wurden.