Reprise active et changement de tactique
Après une période d'inactivité de trois mois, la plus longue de son histoire longue de deux décennies, le groupe de cybermenace parrainé par le gouvernement iranien connu sous le nom de Prince of Persia (également connu sous le nom d'Infy) a repris ses opérations en mai 2026. Des recherches menées par la société Semperis ont révélé qu'en août dernier, le groupe a déplacé l'un de ses serveurs de commande et de contrôle (C&C) aux États-Unis, marquant la première fois qu'il recourt à cette mesure depuis 2016.
Qu'est-ce qui change concrètement ?
Ce changement d'infrastructure est une évolution remarquable ; le groupe a abandonné l'utilisation de serveurs virtuels privés (VPS) au profit de services d'hébergement mutualisé fournis par Namecheap. Tomer Bar, vice-président de la recherche en sécurité chez Semperis, explique que ce comportement est inhabituel pour le groupe, l'hébergement mutualisé regroupant des milliers de domaines légitimes, ce qui rend la détection des serveurs malveillants beaucoup plus difficile.
Le groupe utilise une famille de logiciels malveillants récents appelée Tornado, qui intègre des capacités avancées de vol de fichiers via des bots de l'application Telegram. Des recherches ont montré que le groupe a déjà commencé à utiliser un nouveau serveur pour soutenir la deuxième phase des attaques Tornado, avant de basculer ultérieurement vers des serveurs protégés derrière Cloudflare, ce qui indique que les attaquants étaient conscients du risque que leur serveur américain soit découvert.
Pourquoi cette nouvelle est-elle importante ?
Le groupe Prince of Persia cible principalement les opposants iraniens, ainsi que des entités gouvernementales et privées aux États-Unis, en Europe et au Moyen-Orient. L'importance de ce rapport réside dans les points suivants :
- Modification de la stratégie d'occultation : L'utilisation d'un hébergement mutualisé aux États-Unis vise à se fondre dans le trafic légitime.
- Corrélation avec les événements géopolitiques : L'arrêt de l'activité du groupe a coïncidé avec les tensions régionales de février 2026, mettant en lumière le lien entre cyberactivités et événements politiques.
- Indicateurs de compromission (IoCs) : Semperis a partagé les indicateurs de compromission liés à l'infrastructure du groupe et recommande aux organisations de mettre à jour leurs outils de sécurité et de surveiller le trafic Telegram suspect.
Malgré la reprise des opérations, les données indiquent que le nombre de victimes reste limité, ce qui pourrait signifier que le groupe se concentre sur des attaques ciblées avec précision ou qu'il rencontre des difficultés techniques pour pénétrer de nouveaux systèmes.