Активное возвращение и смена тактики
После трехмесячного перерыва, ставшего самым продолжительным за ее двадцатилетнюю историю, поддерживаемая иранским правительством киберпреступная группировка, известная как Prince of Persia (также известная как Infy), в мае 2026 года возобновленила свою деятельность. Исследования компании Semperis показали, что в августе прошлого года группировка перенесла один из своих серверов управления и контроля (C&C) на территорию США. Это первый случай подобного шага со стороны данной группировки с 2016 года.
Что меняется на практике?
Такой сдвиг в инфраструктуре группировки представляет собой примечательное событие: злоумышленники отказались от использования виртуальных частных серверов (VPS) в пользу услуг совместного хостинга от компании Namecheap. Томер Бар, вице-президент по исследованиям безопасности в Semperis, поясняет, что подобное поведение нетипично для данной группы, поскольку совместный хостинг включает в себя тысячи легитимных доменов, что значительно затрудняет обнаружение вредоносных серверов.
Группировка использует семейство современного вредоносного ПО под названием Tornado, обладающее расширенными возможностями похищения файлов через ботов мессенджера Telegram. Исследования показали, что хакеры уже задействовали новый сервер для поддержки второй фазы атак с использованием Tornado, после чего перешли на применение серверов, защищенных инфраструктурой Cloudflare, что указывает на осознание злоумышленниками риска раскрытия их американского сервера.
Почему эта новость важна?
Группировка Prince of Persia в основном нацелена на иранских диссидентов, а также на государственные и частные структуры в США, Европе и на Ближнем Востоке. Значимость данного отчета заключается в следующих аспектах:
- Изменение стратегии маскировки: Использование совместного хостинга внутри США направлено на сокрытие активности среди легитимного трафика.
- Связь с геополитическими событиями: Перерыв в работе группировки совпал с региональной напряженностью в феврале 2026 года, что подчеркивает взаимосвязь между кибернетической активностью и политическими событиями.
- Индикаторы компрометации (IoCs): Компания Semperis поделилась индикаторами компрометации инфраструктуры группировки и рекомендует организациям обновить средства защиты и отслеживать подозрительный трафик Telegram.
Несмотря на возобновление операций, данные свидетельствуют о том, что число жертв пока остается ограниченным. Это может означать, что группировка сосредоточена на точечных целенаправленных атаках либо сталкивается с техническими трудностями при взломе новых систем.