恢复活跃与战术转变
在经历了为其二十年历史上最长的三个月停滞期后，已知的伊朗政府支持的网络威胁团伙 Prince of Persia（亦被称为 Infy）于 2026 年 5 月恢复了行动。Semperis 公司的研究表明，该团伙去年 8 月将其一个命令与控制 (C&C) 服务器迁移到了美国境内，这是该团伙自 2016 年以来首次采取此举。
实际发生了哪些变化？
这种基础设施的转变是一个引人注目的发展；该团伙放弃使用虚拟专用服务器 (VPS)，转而采用来自 Namecheap 的共享托管服务。Semperis 安全研究副总裁托默·巴尔 (Tomer Bar) 解释说，这种行为对该团伙来说很不寻常，因为共享托管包含数千个合法域名，这使得发现威胁服务器变得更加困难。
该团伙正在使用名为 Tornado 的现代恶意软件家族，该软件具有通过 Telegram 应用程序机器人窃取文件的先进功能。研究发现，该团伙在转向使用受 Cloudflare 保护的服务器之前，已经开始使用新服务器来支持 Tornado 攻击的第二阶段，这表明攻击者意识到其美国服务器可能会被暴露。
为什么这条消息很重要？
Prince of Persia 团伙主要针对伊朗异见人士，以及美国、欧洲和中东的政府和私营实体。本报告的重要性体现在以下几点：
- 改变隐蔽策略：在美国境内使用共享托管旨在伪装在合法流量之中。
- 与地缘政治事件的联系：该团伙的停滞与 2026 年 2 月的地区紧张局势相吻合，凸显了网络活动与政治事件之间的关系。
- 入侵指标 (IoCs)：Semperis 分享了该团伙基础设施的入侵指标，并建议各大机构更新其安全工具并监控可疑的 Telegram 流量。
尽管行动已经恢复，但数据表明受害者数量仍然有限，这可能意味着该团伙正专注于精准定向攻击，或者在入侵新系统时遇到了技术困难。