Wprowadzenie do problemu / definicja
Infrastruktura command-and-control, znana jako C2, to jeden z najważniejszych elementów współczesnych operacji cybernetycznych. Umożliwia złośliwemu oprogramowaniu komunikację z operatorami, odbieranie poleceń, przesyłanie danych oraz utrzymywanie trwałego dostępu do zainfekowanych systemów.
Opisany przez badaczy przypadek pokazuje, że irańska grupa powiązana z działalnością szpiegowską wykorzystywała serwery zlokalizowane w Stanach Zjednoczonych do obsługi zaplecza C2. Taki model działania utrudnia identyfikację źródła kampanii i zwiększa wiarygodność ruchu sieciowego z perspektywy obrońców.
W skrócie
Analitycy bezpieczeństwa powiązali część infrastruktury C2 z grupą określaną jako Prince of Persia, znaną również z wcześniejszych kampanii przypisywanych rodzinie zagrożeń Infy. Ustalono, że elementy zaplecza były hostowane w USA, co mogło pomóc operatorom w ukrywaniu rzeczywistego pochodzenia działań oraz poprawie niezawodności komunikacji z implantami.
Badacze zauważyli również, że aktywność grupy osłabła w lutym 2026 roku, po czym pojawiły się oznaki odbudowy infrastruktury. Wpisuje się to w szerszy trend, w którym zaawansowane grupy APT elastycznie dostosowują zaplecze techniczne do warunków geopolitycznych i operacyjnych.
Kontekst / historia
Prince of Persia to nazwa odnoszona do długotrwałej działalności cyberszpiegowskiej, której cele historycznie obejmowały między innymi dysydentów, dziennikarzy, osoby opozycyjne oraz wybrane organizacje i instytucje. Grupa przez lata rozwijała własne kanały komunikacji i zaplecze wspierające utrzymywanie dostępu do systemów ofiar.
W pierwszych miesiącach 2026 roku obserwowano osłabienie aktywności części serwerów C2, jednak późniejsze analizy wskazały na odbudowę infrastruktury oraz ponowne uruchamianie domen i węzłów komunikacyjnych. Taki schemat sugeruje zdolność do szybkiej rekonfiguracji oraz utrzymywania ciągłości operacyjnej mimo zakłóceń.
Analiza techniczna
Wykorzystanie hostingu w USA daje operatorom kilka istotnych korzyści. Przede wszystkim komunikacja z adresami IP lub domenami osadzonymi w renomowanych centrach danych może wyglądać mniej podejrzanie niż ruch kierowany do infrastruktury w regionach tradycyjnie kojarzonych z wysokim ryzykiem.
Z technicznego punktu widzenia serwery C2 odpowiadają zwykle za odbieranie beaconów z zainfekowanych hostów, wydawanie poleceń, aktualizowanie konfiguracji malware i przyjmowanie wykradzionych danych. Jeśli takie zasoby działają w legalnych środowiskach hostingowych, a dodatkowo korzystają z wiarygodnie wyglądających domen lub rezerwowych pul adresowych, ich wykrycie staje się znacznie trudniejsze.
Coraz częściej grupy APT budują wielowarstwową architekturę infrastrukturalną. Obejmuje ona domeny frontowe, serwery pośredniczące, przekierowania oraz właściwe zaplecze zarządzające operacją. W praktyce oznacza to, że przejęcie pojedynczego węzła nie musi prowadzić do zakończenia całej kampanii. Obecność zasobów zapasowych lub domen rezerwowych świadczy o dojrzałym modelu operacyjnym nastawionym na odporność i ciągłość działania.
Konsekwencje / ryzyko
Najważniejszy wniosek dla zespołów bezpieczeństwa jest prosty: geolokalizacja infrastruktury nie może być dziś traktowana jako wiarygodny wskaźnik pochodzenia zagrożenia. Organizacje, które koncentrują monitoring głównie na połączeniach do podejrzanych regionów, mogą łatwo przeoczyć komunikację z C2 hostowanym w zaufanych jurysdykcjach.
Ryzyko dotyczy również błędnej klasyfikacji incydentów. Połączenia do dużych dostawców hostingu lub środowisk chmurowych mogą wyglądać jak zwykła aktywność biznesowa, administracyjna albo testowa. To zwiększa szansę na długotrwałą obecność przeciwnika w środowisku, a w konsekwencji na eskalację uprawnień, ruch lateralny oraz wyciek danych.
Szczególnie narażone mogą być podmioty publiczne, media, organizacje pozarządowe i instytucje związane z analizą sytuacji geopolitycznej. Historia kampanii przypisywanych podmiotom powiązanym z Iranem wskazuje, że ich działania często mają charakter wywiadowczy i są nastawione na długoterminowe pozyskiwanie informacji.
Rekomendacje
Organizacje powinny nadać wysoki priorytet analizie ruchu wychodzącego. Kluczowe jest wykrywanie niestandardowych połączeń do zewnętrznych hostów, zwłaszcza jeśli mają charakter cykliczny, przypominają beaconing lub odstają od normalnego profilu komunikacyjnego stacji roboczych i serwerów.
Warto łączyć dane z wielu źródeł telemetrycznych, takich jak DNS, proxy, EDR, zapory sieciowe oraz logi procesów inicjujących połączenia. Sam adres IP nie wystarcza do oceny ryzyka — istotne jest ustalenie, jaka aplikacja się komunikuje, z jaką częstotliwością, jakim protokołem i w jakim kontekście użytkownika.
- segmentacja sieci i ograniczanie komunikacji wychodzącej do niezbędnych destynacji,
- egzekwowanie zasady least privilege,
- regularne polowanie na oznaki beaconingu i ruchu C2,
- analiza nowych domen oraz reputacji usług hostingowych wykorzystywanych w środowisku,
- blokowanie nieautoryzowanych narzędzi zdalnego dostępu i skryptów uruchamianych przez interpretery systemowe,
- utrzymywanie aktualnych reguł detekcji opartych na TTP, a nie wyłącznie na IOC,
- rozwijanie detekcji behawioralnej ukierunkowanej na anomalie częstotliwości połączeń, nietypowe wzorce DNS i ukryte kanały komunikacyjne.
Podsumowanie
Przypadek infrastruktury C2 hostowanej w USA przez irańską grupę Prince of Persia pokazuje, że współczesne operacje APT coraz skuteczniej zacierają granicę między legalną infrastrukturą a zapleczem ofensywnym. Dla obrońców oznacza to konieczność odejścia od uproszczonych założeń opartych wyłącznie na reputacji kraju hostingu.
Największe znaczenie zyskują dziś analiza behawioralna, pełna widoczność ruchu wychodzącego oraz szybkie mapowanie zależności między hostem, procesem, domeną i wzorcem komunikacji. To właśnie na tym poziomie można najskuteczniej identyfikować nowoczesne kanały C2 wykorzystywane przez zaawansowanych przeciwników.
Źródła
- https://www.infosecurity-magazine.com/news/iranian-hacking-group-hosting-c2/
- https://www.whisper.security/resources/blog/prince-of-persia-mapping-the-backend-and-a-reserve-of-domains-staged-for-what-comes-next
- https://www.cybersecurityinsight.us/index.php/en/component/content/article/infy-hackers-reemerge-with-new-c2-servers-following-iran-internet-blackout?Itemid=220&catid=13