{"id":1695,"date":"2026-07-22T10:08:45","date_gmt":"2026-07-22T10:08:45","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/22\/la-policia-desmantela-el-kit-de-phishing-kratos-creado-para-robar-sesiones-de-microsoft-365-y-eludir-mfa-cyberdefensa-mx\/"},"modified":"2026-07-22T10:08:45","modified_gmt":"2026-07-22T10:08:45","slug":"la-policia-desmantela-el-kit-de-phishing-kratos-creado-para-robar-sesiones-de-microsoft-365-y-eludir-mfa-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/22\/la-policia-desmantela-el-kit-de-phishing-kratos-creado-para-robar-sesiones-de-microsoft-365-y-eludir-mfa-cyberdefensa-mx\/","title":{"rendered":"La polic\u00eda desmantela el kit de phishing Kratos creado para robar sesiones de Microsoft 365 y eludir MFA \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Las fuerzas del orden alemanas y estadounidenses han derribado la infraestructura central de Kratos<\/strong>descrito por investigadores alemanes como uno de los kits de phishing criminal m\u00e1s utilizados en el mundo, y las autoridades indonesias arrestaron al hombre que, seg\u00fan dicen, lo desarroll\u00f3 y ejecut\u00f3.<\/p>\n

en un porro anuncio<\/a> El lunes, la unidad de delitos cibern\u00e9ticos (ZIT) del fiscal p\u00fablico de Frankfurt y la Oficina Federal de Polic\u00eda Criminal (BKA) de Alemania dijeron que hab\u00edan desconectado m\u00e1s de 200 servidores. Los investigadores estiman que aproximadamente 1.800 clientes de pago utilizaron Kratos para ejecutar unas 15.000 campa\u00f1as de phishing al mes.<\/p>\n

Kratos recopil\u00f3 m\u00e1s que contrase\u00f1as. El kit fue dise\u00f1ado para robar la cookie de sesi\u00f3n junto con el inicio de sesi\u00f3n, y esa cookie es suficiente para pasar la autenticaci\u00f3n de dos factores en la cuenta como usuario, dijo la BKA.<\/p>\n

ANY.RUN, que ingenier\u00eda inversa del kit<\/a>los operadores encontrados pod\u00edan elegir uno de dos modos: una p\u00e1gina PHP simple que solo recopila credenciales, o un proxy inverso de Node.js dise\u00f1ado para transmitir el inicio de sesi\u00f3n a Microsoft en tiempo real y capturar la sesi\u00f3n resultante. Esa segunda modalidad es la t\u00e9cnica del adversario en el medio que ha convertido al MFA ordinario en un respaldo mucho m\u00e1s d\u00e9bil de lo que parece.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La operaci\u00f3n se desarroll\u00f3 como una franquicia, con los clientes que la BKA llamaba franquiciados. Pagaron en criptomonedas y se registraron a trav\u00e9s de un sitio web exclusivo y una tienda de Telegram para administrar sus cuentas y organizar campa\u00f1as, de modo que incluso los actores poco calificados pudieran apuntar un kit AiTM funcional a un objetivo.<\/p>\n

Las autoridades cifran el n\u00famero de v\u00edctimas desde finales de 2024 en cientos de miles, repartidas en m\u00e1s de 30 pa\u00edses y concentradas en Europa y Estados Unidos. Calculan que los operadores ganaron m\u00e1s de 300.000 euros desde 2024 y que cada campa\u00f1a podr\u00eda llegar a varios miles de destinatarios.<\/p>\n

Kratos ya estaba siendo rastreado. Inteligencia de amenazas de Microsoft<\/a> identifica el mismo kit que Registro furtivo<\/strong>una plataforma de phishing como servicio que, seg\u00fan dice, ha realizado robo de credenciales y 2FA contra Microsoft 365 desde al menos principios de 2025, y detect\u00f3 una campa\u00f1a en el acto.<\/p>\n

\"\"<\/a><\/div>\n

El 10 de febrero, los operadores enviaron correos electr\u00f3nicos con temas fiscales a alrededor de 100 organizaciones, principalmente en los EE. UU., en los sectores de fabricaci\u00f3n, venta minorista y atenci\u00f3n m\u00e9dica, cada uno con un documento W-2 con un c\u00f3digo QR personalizado para el destinatario que condujo a un inicio de sesi\u00f3n falso en Microsoft 365.<\/p>\n

Los inicios de sesi\u00f3n robados de Microsoft rara vez son el final del camino. La BKA dijo que las credenciales robadas podr\u00edan usarse para m\u00e1s phishing, venderse a otros delincuentes o convertirse en un punto de apoyo dentro de las empresas al difundirse a trav\u00e9s de sus entornos Microsoft 365, el camino familiar desde una bandeja de entrada suplantada hasta el compromiso del correo electr\u00f3nico empresarial.<\/p>\n

Carsten Meywirth, jefe de la divisi\u00f3n de cibercrimen de la BKA, afirm\u00f3 que la operaci\u00f3n demuestra \u00abque incluso las infraestructuras de phishing altamente profesionales pueden combatirse eficazmente\u00bb. Benjamin Krause, del ZIT, lo plante\u00f3 como prueba del enfoque \u00abperturbador\u00bb de la oficina de desmantelar un servicio criminal directamente en lugar de s\u00f3lo acusar a las personas detr\u00e1s de \u00e9l.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Microsoft est\u00e1 notificando a los usuarios atrapados en las campa\u00f1as. Para cualquier persona a la que Microsoft notifique, la soluci\u00f3n depende de c\u00f3mo se vio afectada. Cuando el kit solo recopil\u00f3 credenciales, un restablecimiento de contrase\u00f1a y una verificaci\u00f3n de MFA lo cubren. Cuando su modo de proxy inverso levant\u00f3 una sesi\u00f3n en vivo, esa sesi\u00f3n sobrevive al reinicio, por lo que debe ser revocada, y las cuentas de alto valor se trasladan a un inicio de sesi\u00f3n resistente al phishing.<\/p>\n

Los defensores que buscan exposici\u00f3n pueden buscar la indicaci\u00f3n del kit: ANY.RUN encontr\u00f3 que sus p\u00e1ginas de inicio de sesi\u00f3n casi siempre cargan los activos emparejados barr.svg y lg.svg, luego PUBLICAN las credenciales robadas en puntos finales como next.php o save.php. Califica ese emparejamiento con un 90% de recuperaci\u00f3n con casi cero falsos positivos.<\/p>\n

Por ahora, los servidores est\u00e1n fuera de l\u00ednea y, seg\u00fan la BKA, las campa\u00f1as impulsadas por Kratos no pueden continuar. Lo que la eliminaci\u00f3n no afect\u00f3 son los aproximadamente 1.800 clientes ni el c\u00f3digo del kit que ya poseen. ANY.RUN encontr\u00f3 que Kratos se ejecuta en dominios desechables, sitios de WordPress comprometidos y alojamiento compartido con otros kits de adversarios intermedios, el tipo de configuraci\u00f3n que reaparece con un nuevo nombre una vez que los servidores caen.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Las fuerzas del orden alemanas y estadounidenses han derribado la infraestructura central de Kratosdescrito por investigadores alemanes como uno de los kits de phishing criminal m\u00e1s utilizados en el mundo, y las autoridades indonesias arrestaron al hombre que, seg\u00fan dicen, lo desarroll\u00f3 y ejecut\u00f3. en un porro anuncio El lunes, la unidad de delitos cibern\u00e9ticos […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[3533,24,458,1626,427,3951,2611,50,36,365,1759,703,1714],"class_list":["post-1695","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-creado","tag-cyberdefensa-mx","tag-desmantela","tag-eludir","tag-kit","tag-kratos","tag-mfa","tag-microsoft","tag-para","tag-phishing","tag-policia","tag-robar","tag-sesiones"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1695","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1695"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1695\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1695"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1695"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1695"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}