活発な活動再開と戦術の変更
2年の歴史の中で最長となる3カ月の活動休止期間を経て、イラン政府支援のサイバー脅威グループであるPrince of Persia（Infyとしても知られる）は、2026年5月に活動を再開しました。Semperis社の調査によると、同グループは昨年8月にコマンド＆コントロール（C&C）サーバーの1つを米国国内に移行させました。同グループがこのような手段に出るのは、2016年以来初めてのことです。
実務上、何が変わったのか？
このインフラストラクチャの変更は注目すべき動向です。グループは仮想プライベートサーバー（VPS）の利用を放棄し、Namecheapの共有ホスティングサービスを採用しました。Semperis社のセキュリティ調査担当バイスプレジデントであるトメル・バル（Tomer Bar）氏によると、この行動は同グループにとって異例のものであり、共有ホスティングには数千もの正当なドメインが混在しているため、脅威サーバーの発見がより困難になるとしています。
グループは、Telegramアプリケーションのボットを介した高度なファイル窃取機能を備えた、Tornadoと呼ばれる最新のマルウェアファミリーを使用しています。調査では、グループがTornado攻撃の第2段階を支援するための新しいサーバーの利用をすでに開始しており、その後米国製サーバーが露見する可能性を攻撃者が認識していることを示すかのように、Cloudflareの背後で保護されたサーバーの利用へと移行したことが判明しています。
このニュースが重要な理由
Prince of Persiaグループは主にイランの反体制派や、米国、ヨーロッパ、中東の政府および民間組織を標的にしています。このレポートの重要性は以下の点にあります：
- 隠蔽戦略の変更：米国国内での共有ホスティングの利用は、正当なトラフィックに紛れ込んでカモフラージュすることを目的としています。
- 地政学的イベントとの関連性：グループの活動休止は2026年2月の地域的緊張と重なっており、サイバー活動と政治的イベントの関係性が浮き彫りになっています。
- 侵害の兆候（IoCs）：Semperis社はグループのインフラストラクチャに関する侵害の兆候を共有しており、組織に対してセキュリティツールのアップデートと不審なTelegramトラフィックの監視を推奨しています。
活動の再開にもかかわらず、データによれば被害者の数は依然として限られており、これはグループが精度の高い標的型攻撃に焦点を当てているか、あるいは新規システムの侵入において技術的な困難に直面している可能性を示唆しています。