Regreso activo y cambio en las tácticas
Tras un periodo de inactividad de tres meses, el más largo en su historia de dos décadas, el grupo de amenaza cibernética respaldado por el gobierno iraní conocido como Prince of Persia (también conocido como Infy) reanudó sus operaciones en mayo de 2026. Investigaciones de la empresa Semperis revelaron que el pasado mes de agosto el grupo trasladó uno de sus servidores de comando y control (C&C) al interior de Estados Unidos, siendo la primera vez que el grupo recurre a esta medida desde 2016.
¿Qué cambia en la práctica?
Este cambio en la infraestructura del grupo constituye una evolución llamativa; dado que el grupo abandonó el uso de servidores privados virtuales (VPS) en favor de servicios de alojamiento compartido de Namecheap. Tomer Bar, vicepresidente de investigación de seguridad en Semperis, explica que este comportamiento es inusual para el grupo, ya que el alojamiento compartido alberga miles de dominios legítimos, lo que dificulta la detección de los servidores de amenaza.
El grupo utiliza una familia de programas maliciosos reciente llamada Tornado, la cual incluye capacidades avanzadas para el robo de archivos mediante bots de la aplicación Telegram. Las investigaciones detectaron que el grupo ya comenzó a utilizar un servidor nuevo para respaldar la segunda fase de los ataques de Tornado, antes de pasar posteriormente a utilizar servidores protegidos detrás de Cloudflare, lo que indica que los atacantes son conscientes de la posibilidad de que su servidor estadounidense sea descubierto.
¿Por qué importa esta noticia?
El grupo Prince of Persia apunta principalmente contra disidentes iraníes, además de entidades gubernamentales y privadas en Estados Unidos, Europa y Oriente Medio. La importancia de este informe radica en los siguientes puntos:
- Cambio en la estrategia de elusión: El uso de alojamiento compartido dentro de Estados Unidos tiene como objetivo camuflarse entre el tráfico legítimo.
- Vínculo con los acontecimientos geopolíticos: La pausa del grupo coincidió con las tensiones regionales en febrero de 2026, lo que resalta la relación entre las actividades cibernéticas y los eventos políticos.
- Indicadores de compromiso (IoCs): Semperis compartió los indicadores de compromiso de la infraestructura del grupo y recomienda a las organizaciones actualizar sus herramientas de seguridad y monitorear el tráfico sospechoso de Telegram.
A pesar de la reanudación de las operaciones, los datos indican que el número de víctimas sigue siendo limitado, lo que podría significar que el grupo se centra en ataques dirigidos con precisión o que enfrenta dificultades técnicas para vulnerar nuevos sistemas.