활동 재개와 전술의 변화
20년 역사상 가장 긴 3개월간의 휴지기를 거친 후, 이란 정부의 지원을 받는 사이버 위협 그룹인 프린스 오브 퍼시아(Prince of Persia, Infy로도 알려짐)가 2026년 5월에 작전을 재개했습니다. 보안 기업 셈페리스(Semperis)의 연구에 따르면, 이 그룹은 지난 8월 명령 및 제어(C&C) 서버 중 하나를 미국 내로 이전했으며, 이는 2016년 이후 이 그룹이 이러한 조치를 취한 첫 번째 사례입니다.
실무적으로 무엇이 바뀌었는가?
이러한 인프라 전환은 주목할 만한 발전입니다. 이 그룹은 가상 사설 서버(VPS) 사용을 포기하고 네임칩(Namecheap)의 공유 호스팅 서비스를 선택했습니다. 셈페리스의 보안 연구 부사장인 토머 바(Tomer Bar)는 공유 호스팅에 수천 개의 합법적인 도메인이 포함되어 있어 위협 서버의 탐지를 더욱 어렵게 만들기 때문에 이러한 행동이 그룹에게는 이례적이라고 설명합니다.
이 그룹은 텔레그램(Telegram) 애플리케이션 봇을 통한 고급 파일 유출 기능을 갖춘 토네이도(Tornado)라는 최신 멀웨어 패밀리를 사용하고 있습니다. 연구에 따르면 이 그룹은 토네이도 공격의 2단계를 지원하기 위해 새로운 서버를 사용하기 시작했으며, 이후 공격자들이 미국 서버가 노출될 가능성을 인식하고 있음을 시사하며 클라우드플레어(Cloudflare) 뒤에 보호되는 서버로 이동했습니다.
이 뉴스가 중요한 이유
프린스 오브 퍼시아 그룹은 주로 이란 반체제 인사들과 미국, 유럽, 중동의 정부 및 민간 기관을 겨냥합니다. 이 보고서의 중요성은 다음과 같은 요점에 있습니다.
- 은닉 전략의 변화: 미국 내 공유 호스팅을 사용하여 합법적인 트래픽 사이에 위장하는 것을 목표로 합니다.
- 지정학적 사건과의 연관성: 그룹의 활동 중단이 2026년 2월의 지역적 긴장 고조와 맞물려 사이버 활동과 정치적 사건 간의 연관성을 부각시킵니다.
- 침해 지표(IoCs): 셈페리스는 그룹 인프라와 관련된 침해 지표를 공유했으며, 기업들에게 보안 도구를 업데이트하고 의심스러운 텔레그램 트래픽을 모니터링할 것을 권장합니다.
작전 재개에도 불구하고 데이터에 따르면 피해자 수는 여전히 제한적이며, 이는 그룹이 정밀하게 표적화된 공격에 집중하고 있거나 새로운 시스템을 침해하는 데 기술적 어려움을 겪고 있음을 의미할 수 있습니다.