網路犯罪
跨國執法下架釣魚即服務平台Kratos,TrendAI提供關鍵情資協助破案
Kratos 是近期大量 Microsoft 365 帳密竊取事件背後的「釣魚即服務」(Phishing-as-a-Service, PhaaS)平台,德國聯邦刑事警察局(BKA)與法蘭克福網路犯罪防制中心(ZIT)在美國當局協助下,已透過代號「Olympus Blade」(奧林帕斯之刃)的行動將其伺服器全面下線。
Save to Folio
重點摘要
- Kratos 是近期大量 Microsoft 365 帳密竊取事件背後的「釣魚即服務」(PhaaS)平台,已遭德國聯邦刑事警察局(BKA)與法蘭克福網路犯罪防制中心(ZIT,並有美國當局協助)透過代號「Olympus Blade」的行動搗毀。開發者兼技術管理者已在印尼落網。該平台前身為Sneaky2FA,一款自2024年10月起鎖定Microsoft帳戶的釣魚工具包。
- 超過1,800名犯罪訂閱者租用Kratos,平均每月發動約1.5萬起釣魚攻擊活動。此次行動關閉了200多台伺服器,受害者遍及30多個國家(以歐洲與美國為主),自2024年底以來累計受害人數達數十萬人。
- TrendAI™透過提供威脅情資、基礎設施指紋辨識、受害者輪廓分析以及幕後行為者研判,協助支援此次調查。相關情資自2025年起即提供給BKA。
- 訂閱制的商業模式讓Kratos得以規模化擴張——附屬會員只需租用工具包,即可仰賴服務本身支援釣魚行動。這也是此次行動的意義所在:不只是逮捕一人,而是瓦解了讓低技術門檻的操作者也能發動大規模帳密竊取攻擊的基礎設施與商業模式。
簡介
2026 年 7 月 20 日，德國的「聯邦刑事警察局」(Bundeskriminalamt，簡稱 BKA) 和位於法蘭克福的「打擊網路犯罪中央辦公室」(Zentralstelle zur Bekämpfung der Internet- und Computerkriminalität，簡稱 ZIT) 與美國當局合作，下架了 Kratos 背後的中央基礎架構，Kratos 是一個網路釣魚服務 (PhaaS) 平台，專門用來大規模竊取 Microsoft 365 登入憑證。同時，印尼政府也逮捕了該服務的開發人員和系統管理技術人員。共有 200 多台伺服器遭到關閉，而該平台的整個基礎架構也完全下線。
曾有超過 1,800 名犯罪訂閱用戶購買了 Kratos 的存取權限，每個月估計利用它發動了 15,000 次網路釣魚攻擊行動，每一次都能觸及數千名受害者。受害者遍及 30 多個國家 (主要集中在歐洲和美國)，而且自 2024 年底以來，受害者總數已累積到數十萬。BKA 和 ZIT 表示，該集團自 2024 年以來已獲利超過 30 萬歐元 (約 34.2 萬美元)。
一段短暫的歷史：從 Sneaky2FA 到 Kratos
Kratos 並非一款新的套件，它是從 Sneaky2FA 直接進化而來，這是一套「不肖中間人」(AiTM) 網路釣魚套件，自 2024 年 10 月以來便以 Microsoft 365 帳號為攻擊目標。Sneaky2FA 會以中繼方式在受害者和真正的 Microsoft 登入伺服器之間即時傳遞認證階段資訊，讓駭客在傳輸過程中同時擷取登入憑證和連線階段權杖 (session token)，而這正是該套件能破解多重認證 (MFA) 的原因，它不是只單純竊取密碼而已。
此套件是透過 Telegram 訂閱的模式銷售，為加盟者提供現成可用的服務：包括網路釣魚網域與反機器人檢查 (例如 Cloudflare Turnstile)。2025 年 11 月，它又新增了「瀏覽器內瀏覽器」(browser-in-the-browser，簡稱 BitB) 登入視窗，而這足以讓受過訓練、懂得檢查網址列的使用者受騙上當。正是因為這樣的商業模式 (租用套件讓別人代為執行攻擊行動)，才讓一些低階駭客也能到達 BKA 和 ZIT 本週所描述的犯罪規模。
打擊 Kratos 行動
TrendAI™ 自 2024 年 12 月起便開始追蹤 Sneaky2FA，並掌握了它如何進化成 Kratos，同時也從 2025 年起開始與 BKA 分享情資。在這段期間，我們提供了 Kratos 基礎架構的指紋分析以及找出其網路釣魚面板的方法，還有觀察到的受害者與基礎架構定期更新。
2025 年 3 月，我們觀察到一個 Telegram 頻道在刊登 Kratos 網路釣魚服務的廣告。經過進一步調查之後發現，Kratos 很可能是 Sneaky2FA 換個品牌重新上市。我們深入調查了它的經營者和相關人員，並將我們的發現分享給 BKA 來支援其調查工作。
我們在 2026 年 3 月協助破獲 Tycoon 2FA 集團時也是採取同樣的合作模式，我們在行動之前便預先將長期監控蒐集到的威脅情資提供給歐洲刑警組織 (Europol)。我們之所以有辦法提供能讓執法機關採取行動的資訊，而非只有當下的情況，完全是我們長期追蹤該套件基礎架構與世代變化的成果。
能夠在一次聯合行動當中將如此規模的平台下架，包括逮捕其開發人員，是一項意義重大的成果。BKA 網路犯罪部門主任卡斯滕·梅維爾特 (Carsten Meywirth) 稱之為一項開創性行動，並對其他駭客集團發出了明確的訊號。我們對這一番評價感到認同，也對 BKA 及其合作夥伴表示祝賀。如同許多其他網路犯罪打擊行動一樣，最棒的成果總是來自於執法機關與民間資安產業的密切合作。TrendAI™ 很榮幸成為該社群長期而活躍的一員，協助建立一個更安全的數位資訊交換世界。