Aktive Rückkehr und Taktikwechsel
Nach einer dreimonatigen Pause, der längsten in ihrer zwei Jahrzehnte langen Geschichte, hat die vom iranischen Staat unterstützte Cyber-Bedrohungsgruppe mit dem Namen Prince of Persia (auch bekannt als Infy) im Mai 2026 ihre Operationen wieder aufgenommen. Untersuchungen des Unternehmens Semperis ergaben, dass die Gruppe im vergangenen August einen ihrer Command-and-Control-Server (C&C) in die Vereinigten Staaten verlegt hat. Dies ist das erste Mal seit 2016, dass die Gruppe zu dieser Maßnahme greift.
Was ändert sich in der Praxis?
Diese Verlagerung der Infrastruktur stellt eine auffällige Entwicklung dar; die Gruppe verzichtete auf die Nutzung von Virtual Private Servern (VPS) zugunsten von Shared-Hosting-Diensten von Namecheap. Tomer Bar, Vice President of Security Research bei Semperis, erklärt, dass dieses Verhalten für die Gruppe ungewöhnlich ist, da Shared Hosting Tausende legitime Domains beherbergt, was die Entdeckung der Bedrohungsserver erschwert.
Die Gruppe verwendet eine moderne Schadsoftware-Familie namens Tornado, die über erweiterte Funktionen zum Dateidiebstahl mittels Telegram-Bots verfügt. Recherchen haben ergeben, dass die Gruppe bereits begonnen hatte, einen neuen Server zur Unterstützung der zweiten Phase der Tornado-Angriffe zu nutzen, bevor sie später zu Servern wechselte, die hinter Cloudflare geschützt sind. Dies deutet darauf hin, dass den Angreifern bewusst ist, dass ihr US-Server entdeckt werden könnte.
Warum ist diese Nachricht wichtig?
Die Gruppe Prince of Persia hat es hauptsächlich auf iranische Dissidenten sowie auf Regierungs- und Privatunternehmen in den Vereinigten Staaten, Europa und dem Nahen Osten abgesehen. Die Bedeutung dieses Berichts liegt in den folgenden Punkten:
- Änderung der Tarnungsstrategie: Die Nutzung von Shared Hosting in den Vereinigten Staaten zielt darauf ab, sich im legitimen Datenverkehr zu tarnen.
- Verbindung zu geopolitischen Ereignissen: Die Unterbrechung der Gruppenaktivitäten fiel mit den regionalen Spannungen im Februar 2026 zusammen, was die Beziehung zwischen Cyberaktivitäten und politischen Ereignssen unterstreicht.
- Indikatoren für eine Kompromittierung (IoCs): Semperis hat die IoCs der Infrastruktur der Gruppe geteilt und empfiehlt Unternehmen, ihre Sicherheitstools zu aktualisieren und verdächtigen Telegram-Datenverkehr zu überwachen.
Trotz der Wiederaufnahme der Operationen deuten die Daten darauf hin, dass die Zahl der Opfer weiterhin gering ist. Dies könnte bedeuten, dass sich die Gruppe auf präzise zielgerichtete Angriffe konzentriert oder auf technische Schwierigkeiten bei der Kompromittierung neuer Systeme stößt.