Retorno ativo e mudança de táticas
Após um período de pausa de três meses, o mais longo em sua história de duas décadas, o grupo de ameaça cibernética apoiado pelo governo iraniano conhecido como Prince of Persia (também conhecido como Infy) retomou suas operações em maio de 2026. Pesquisas da empresa Semperis revelaram que, em agosto passado, o grupo migrou um de seus servidores de comando e controle (C&C) para os Estados Unidos, sendo a primeira vez que o grupo recorre a essa medida desde 2016.
O que muda na prática?
Essa mudança na infraestrutura do grupo é um desenvolvimento notável; o grupo abandonou o uso de servidores privados virtuais (VPS) em favor de serviços de hospedagem compartilhada da Namecheap. Tomer Bar, vice-presidente de pesquisa de segurança da Semperis, explica que esse comportamento é incomum para o grupo, pois a hospedagem compartilhada abriga milhares de domínios legítimos, tornando a detecção dos servidores de ameaças muito mais difícil.
O grupo utiliza uma família de malware moderna chamada Tornado, que inclui recursos avançados de roubo de arquivos por meio de bots do aplicativo Telegram. A pesquisa descobriu que o grupo já começou a usar um novo servidor para apoiar a segunda fase dos ataques do Tornado, antes de passar posteriormente a usar servidores protegidos atrás da Cloudflare, indicando que os invasores estão cientes da probabilidade de seu servidor americano ser descoberto.
Por que esta notícia importa?
O grupo Prince of Persia tem como alvo principal dissidentes iranianos, além de entidades governamentais e privadas nos Estados Unidos, Europa e Oriente Médio. A importância deste relatório reside nos seguintes pontos:
- Mudança na estratégia de ocultação: O uso de hospedagem compartilhada dentro dos Estados Unidos visa a camuflagem em meio ao tráfego legítimo.
- Vinculação a eventos geopolíticos: A paralisação do grupo coincidiu com as tensões regionais em fevereiro de 2026, destacando a relação entre as atividades cibernéticas e os eventos políticos.
- Indicadores de comprometimento (IoCs): A Semperis compartilhou os indicadores de comprometimento da infraestrutura do grupo e recomenda que as organizações atualizem suas ferramentas de segurança e monitorem o tráfego suspeito do Telegram.
Apesar da retomada das operações, os dados indicam que o número de vítimas ainda é limitado, o que pode significar que o grupo está focando em ataques altamente direcionados ou enfrentando dificuldades técnicas para invadir novos sistemas.