Polisi Bongkar Kratos, Kit Phishing Canggih Curi Sesi Microsoft 365 dan Lewati MFA

Penegak hukum Jerman dan Amerika Serikat berhasil membongkar infrastruktur utama dari Kratos, sebuah kit phishing yang menurut penyidik Jerman termasuk salah satu yang paling banyak digunakan di dunia untuk kejahatan siber. Sementara itu, pihak berwenang Indonesia menangkap pria yang diduga sebagai pengembang dan pengelola kit tersebut.

Pada pengumuman bersama yang dirilis Senin lalu, satuan tugas cybercrime Kejaksaan Frankfurt (ZIT) dan Kantor Kepolisian Kriminal Federal Jerman (BKA) mengungkap bahwa mereka telah menonaktifkan lebih dari 200 server Kratos. Para penyidik memperkirakan ada sekitar 1.800 pelanggan berbayar yang menggunakan Kratos untuk menjalankan sekitar 15.000 kampanye phishing setiap bulan.

Bagaimana Kratos Mencuri Data dan Lewati MFA

Kratos tidak hanya mencuri kata sandi pengguna. Kit phishing ini dirancang untuk mencuri cookie sesi bersamaan dengan data login. Cookie sesi tersebut memungkinkan pelaku untuk melewati otentikasi dua faktor (MFA) dan mengakses akun korban seolah-olah mereka adalah pemilik sah, menurut BKA.

Platform analisis malware ANY.RUN yang melakukan rekayasa balik terhadap kit ini menemukan bahwa operator dapat memilih antara dua mode:

• Halaman PHP sederhana yang hanya mengumpulkan kredensial login.
• Node.js reverse proxy yang berfungsi sebagai perantara langsung antara korban dan Microsoft, sehingga dapat mengambil sesi secara real-time. Mode kedua ini menggunakan teknik adversary-in-the-middle yang membuat MFA menjadi jauh lebih rentan daripada yang diperkirakan.

Model Bisnis dan Dampak Kratos

Operasi Kratos berjalan seperti waralaba, dengan para pelanggan yang disebut franchisee oleh BKA. Mereka membayar menggunakan mata uang kripto dan mendaftar melalui situs web khusus serta toko Telegram untuk mengelola akun dan kampanye phishing mereka. Dengan sistem ini, bahkan pelaku dengan kemampuan rendah pun dapat menggunakan kit AiTM (Adversary-in-the-Middle) yang sudah siap pakai untuk menyerang target.

Para korban sejak akhir 2024 diperkirakan mencapai ratusan ribu orang di lebih dari 30 negara, terutama di Eropa dan Amerika Serikat. Pendapatan yang berhasil dikumpulkan operator Kratos diperkirakan sudah mencapai lebih dari 300.000 euro sejak 2024, dengan setiap kampanye mampu menjangkau ribuan target.

Serangan Phishing Terkini dan Penanganan

Microsoft Threat Intelligence mengidentifikasi kit ini dengan nama SneakyLog, sebuah platform phishing-as-a-service yang telah melakukan pencurian kredensial dan 2FA terhadap Microsoft 365 sejak awal 2025. Microsoft bahkan pernah menangkap sebuah kampanye phishing yang sedang berlangsung.

Pada 10 Februari lalu, operator Kratos mengirimkan email bertema pajak kepada sekitar 100 organisasi di AS, yang sebagian besar bergerak di bidang manufaktur, ritel, dan kesehatan. Email tersebut berisi dokumen W-2 dengan kode QR yang dipersonalisasi untuk setiap penerima dan mengarah ke halaman login palsu Microsoft 365.

Menurut BKA, kredensial Microsoft yang berhasil dicuri biasanya tidak berhenti di situ. Data tersebut dapat digunakan untuk melakukan phishing lanjutan, dijual ke penjahat siber lain, atau digunakan untuk menyusup ke dalam perusahaan melalui lingkungan Microsoft 365 mereka. Hal ini adalah jalur yang umum dari satu kotak masuk korban hingga terjadinya penipuan email bisnis (business email compromise).

"Operasi ini menunjukkan bahwa bahkan infrastruktur phishing yang sangat profesional sekalipun dapat dilumpuhkan secara efektif," ujar Carsten Meywirth, kepala divisi kejahatan siber BKA.

Benjamin Krause dari ZIT menambahkan, "Ini membuktikan pendekatan disruptif kami yang tidak hanya menuntut pelaku, tetapi juga membongkar layanan kriminal secara keseluruhan."

Langkah Perlindungan dan Deteksi

Microsoft sedang memberi tahu para pengguna yang kena dampak kampanye ini. Tindakan perbaikan berbeda-beda tergantung metode serangan. Jika kit hanya mencuri kredensial, maka reset kata sandi dan pemeriksaan MFA sudah cukup. Namun, jika mode reverse proxy digunakan sehingga sesi aktif dicuri, maka sesi tersebut tetap aktif meski password direset dan harus segera dicabut. Akun bernilai tinggi juga disarankan untuk menggunakan metode masuk yang tahan terhadap phishing.

Untuk mendeteksi keberadaan kit ini, ANY.RUN mengidentifikasi pola unik: halaman login Kratos hampir selalu memuat aset barr.svg dan lg.svg, lalu mengirimkan (POST) kredensial yang dicuri ke endpoint seperti next.php atau save.php. Pola ini memiliki tingkat deteksi hingga 90% dengan kesalahan positif yang sangat rendah.

Masa Depan Setelah Penggerebekan

Dengan server Kratos yang kini sudah offline, BKA menyatakan kampanye phishing berbasis Kratos tidak bisa dilanjutkan lagi untuk saat ini. Namun, yang belum tersentuh adalah sekitar 1.800 pelanggan dan kode kit yang sudah mereka miliki.

ANY.RUN menemukan bahwa Kratos juga beroperasi di domain sekali pakai, situs WordPress yang diretas, dan hosting bersama dengan kit AiTM lainnya. Ini adalah pola yang biasa digunakan oleh para penjahat siber untuk menghidupkan kembali layanan mereka dengan nama baru setelah server ditutup.

Analisis Redaksi

Menurut pandangan redaksi, penggerebekan Kratos ini menjadi bukti nyata bahwa kerja sama lintas negara antara aparat penegak hukum sangat penting dalam memerangi kejahatan siber yang semakin canggih dan terorganisir. Kit phishing semacam Kratos yang menggabungkan pencurian kredensial dan sesi aktif membuat metode keamanan konvensional seperti MFA menjadi kurang efektif jika tidak didukung oleh teknologi tambahan seperti deteksi anomali dan otentikasi berbasis perangkat keras.

Namun, ancaman tidak berhenti di sini. Ribuan pengguna dan organisasi masih menyimpan kode sumber kit ini, yang artinya potensi kebangkitan kembali serangan serupa sangat besar jika tidak diimbangi dengan edukasi keamanan dan pembaruan sistem secara rutin. Selain itu, pelaku kejahatan siber kini semakin mudah mengakses layanan phishing melalui model waralaba yang membuat mereka tidak perlu keahlian teknis tinggi untuk melakukan serangan besar-besaran.

Oleh karena itu, perusahaan dan individu harus meningkatkan kewaspadaan terhadap email mencurigakan dan memperkuat mekanisme keamanan mereka, termasuk memantau aktivitas sesi dan menerapkan otentikasi multifaktor yang lebih kuat. Kita juga perlu mengawasi langkah penegakan hukum berikutnya, yang diharapkan dapat menargetkan tidak hanya infrastruktur, tetapi juga jaringan pelanggan dan distributor kit phishing ini.

Untuk informasi lebih lanjut dan update terkini tentang keamanan siber, pembaca dapat mengikuti berita dari sumber resmi seperti The Hacker News dan portal berita teknologi terpercaya lainnya.