Aktif Dönüş ve Taktik Değişikliği
İki on yıllık tarihinde en uzun süre olan üç aylık bir duraklama döneminin ardından, İran hükümeti destekli siber tehdit grubu Prince of Persia (Infy olarak da bilinir), Mayıs 2026'da operasyonlarına yeniden başladı. Semperis şirketinin araştırmaları, grubun geçen Ağustos ayında komuta ve kontrol (C&C) sunucularından birini Amerika Birleşik Devletleri içine taşıdığını ortaya koydu; bu, grubun 2016 yılından bu yana bu yönteme ilk kez başvurduğu anlamına geliyor.
Pratikte Ne Değişiyor?
Altyapıdaki bu dönüşüm dikkat çekici bir gelişme teşkil ediyor; zira grup, Sanal Özel Sunucuların (VPS) kullanımından vazgeçerek Namecheap şirketinin paylaşımlı barındırma hizmetlerini tercih etti. Semperis Güvenlik Araştırmaları Başkan Yardımcısı Tomer Bar, bu davranışın grup için alışılmadık olduğunu belirtiyor çünkü paylaşımlı barındırma hizmetleri binlerce meşru etki alanını barındırıyor ve bu durum tehdit sunucularının tespit edilmesini daha da zorlaştırıyor.
Grup, Telegram uygulama botları aracılığıyla gelişmiş dosya hırsızlığı yetenekleri barındıran Tornado adlı güncel bir zararlı yazılım ailesi kullanıyor. Araştırmalar, grubun Tornado saldırılarının ikinci aşamasını desteklemek üzere yeni bir sunucu kullanmaya başladığını, ardından saldırganların ABD'deki sunucularının deşifre olma ihtimalini fark ettiklerini gösterir şekilde Cloudflare arkasında korunan sunuculara geçtiğini tespit etti.
Bu Haber Neden Önemli?
Prince of Persia grubu öncelikli olarak İranlı muhalifleri, ayrıca ABD, Avrupa ve Orta Doğu'daki hükümet ve özel kuruluşları hedef almaktadır. Bu raporun önemi şu noktalarda yatmaktadır:
- Gizlenme Stratejisindeki Değişiklik: ABD içinde paylaşımlı barındırma kullanımı, meşru trafik arasında kamuflaj sağlamayı amaçlamaktadır.
- Jeopolitik Olaylarla Bağlantı: Grubun faaliyetlerine ara vermesi Şubat 2026'daki bölgesel gerilimlerle aynı zamana denk geldi; bu durum siber faaliyetler ile siyasi olaylar arasındaki ilişkiyi gözler önüne seriyor.
- Tehdit Göstergeleri (IoCs): Semperis, grubun altyapısına ilişkin tehdit göstergelerini paylaştı ve kuruluşlara güvenlik araçlarını güncelleme ile şüpheli Telegram trafiğini izleme tavsiyesinde bulundu.
Operasyonların yeniden başlamasına rağmen veriler, kurban sayısının hâlâ sınırlı olduğunu gösteriyor; bu durum grubun hassas bir şekilde hedef alınmış saldırılara odaklandığını veya yeni sistemleri ele geçirme konusunda teknik zorluklar yaşadığını gösterebilir.