Wprowadzenie do problemu / definicja
Grupa APT znana jako Prince of Persia, śledzona również pod nazwą Infy, ponownie pojawiła się w aktywnej fazie operacyjnej po kilkumiesięcznej przerwie. Najnowsze ustalenia wskazują, że operatorzy uruchomili infrastrukturę command-and-control na terenie Stanów Zjednoczonych, co stanowi wyraźną zmianę względem wcześniejszego modelu działania.
Dla zespołów SOC, threat intelligence i incident response to istotny sygnał ostrzegawczy. Zmiana lokalizacji oraz sposobu ukrywania infrastruktury sugeruje, że przeciwnik nie tylko wznowił kampanie, ale również dostosował swoje techniki do rosnącej presji ze strony badaczy i mechanizmów detekcyjnych.
W skrócie
Prince of Persia to powiązana z Iranem grupa cyberwywiadowcza aktywna od wielu lat, znana z operacji wymierzonych w dysydentów, instytucje publiczne oraz podmioty prywatne. Po wcześniejszych publikacjach badawczych część jej infrastruktury została wycofana, a aktywność ograniczyła się na kilka miesięcy.
- Grupa wznowiła działania pod koniec maja 2026 roku.
- Badacze wykryli nowy serwer drugiego etapu malware Tornado na hostingu współdzielonym w USA.
- To pierwszy potwierdzony przypadek wykorzystania przez tę grupę amerykańskiej infrastruktury C2 od 2016 roku.
- Kampania wskazuje na dalszy rozwój rodzin malware Foudre, Tonnerre i Tornado.
- Tornado ma wspierać kradzież plików i eksfiltrację danych z użyciem kanałów opartych m.in. o Telegram.
Kontekst / historia
Prince of Persia od lat funkcjonuje jako aktor prowadzący operacje szpiegowskie o długim horyzoncie. W centrum zainteresowania grupy znajdują się cele o wysokiej wartości wywiadowczej, w tym środowiska opozycyjne, organizacje społeczne, podmioty rządowe oraz firmy działające w regionach strategicznych.
Dotychczasowy profil aktywności wskazywał na konsekwentne budowanie dostępu, utrzymywanie obecności w środowisku ofiary oraz systematyczne pozyskiwanie dokumentów. Ujawnienie elementów infrastruktury w lutym 2026 roku miało zakłócić działania operatorów, którzy szybko wyłączyli część serwerów i przenieśli pozostałe komponenty.
Po tym okresie nastąpiła nietypowo długa cisza operacyjna. Powrót aktywności pod koniec maja 2026 roku sugeruje, że grupa wykorzystała ten czas do przebudowy zaplecza technicznego, ograniczenia śladów wcześniejszej ekspozycji oraz przygotowania nowych metod maskowania ruchu.
Analiza techniczna
Najważniejszym elementem obecnej kampanii jest zmiana modelu hostowania infrastruktury. Zamiast klasycznych serwerów VPS lub dedykowanych zasobów, operatorzy mieli wykorzystać hosting współdzielony. Taki wybór znacząco utrudnia obronę, ponieważ złośliwa infrastruktura może ukrywać się pośród wielu legalnych domen i usług, co zwiększa ryzyko błędnej klasyfikacji ruchu.
Nowy serwer miał wspierać drugi etap malware Tornado, opisywanego jako jeden z nowszych komponentów arsenału Prince of Persia. Z dostępnych ustaleń wynika, że malware odpowiada za kradzież plików oraz komunikację z wykorzystaniem legalnych kanałów, w tym Telegrama. To podejście wpisuje się w szerszy trend nadużywania popularnych usług do maskowania ruchu command-and-control i eksfiltracji danych.
Istotnym sygnałem dojrzałości operacyjnej jest również szybka relokacja infrastruktury po wykryciu lub podejrzeniu dekonspiracji. W kolejnych miesiącach operatorzy mieli przygotowywać następne serwery drugiego etapu, ukrywając je dodatkowo za usługami pośredniczącymi. Taka warstwowa architektura ogranicza widoczność rzeczywistego hosta i utrudnia zarówno atrybucję, jak i skuteczne blokowanie.
Na uwagę zasługuje także tempo działań po wznowieniu kampanii. W krótkim czasie od reaktywacji jeden z komponentów malware miał wyprowadzić ponad 1800 plików od pojedynczej ofiary. Może to wskazywać, że grupa działa wobec wcześniej rozpoznanych celów i uruchamia eksfiltrację dopiero po uzyskaniu odpowiedniego poziomu dostępu.
Konsekwencje / ryzyko
Dla organizacji zagrożenie nie wynika wyłącznie z samej aktywności irańskiej grupy APT, ale z połączenia kilku czynników: elastycznej infrastruktury, wykorzystywania legalnych usług do ukrywania komunikacji oraz koncentracji na kradzieży danych. Umieszczenie serwera C2 w USA dodatkowo osłabia skuteczność prostych mechanizmów opartych na geoblokowaniu lub reputacji regionu.
- długotrwała i trudna do wykrycia obecność w środowisku ofiary,
- eksfiltracja dokumentów oraz danych wrażliwych,
- maskowanie komunikacji C2 w ruchu HTTPS i usługach chmurowych,
- szybkie przełączanie infrastruktury po publikacji wskaźników kompromitacji,
- trudność w odróżnieniu legalnego ruchu od aktywności złośliwej.
Szczególnie narażone pozostają instytucje publiczne, media, think tanki, organizacje społeczne oraz firmy przetwarzające dane strategiczne, polityczne lub regionalnie wrażliwe. Dla takich podmiotów nawet ograniczona kampania może oznaczać poważne skutki operacyjne i reputacyjne.
Rekomendacje
Opisany przypadek pokazuje, że obrona oparta wyłącznie na klasycznych IOC jest niewystarczająca. Organizacje powinny wzmacniać detekcję behawioralną i analizę TTP przeciwnika, szczególnie w obszarze ruchu wychodzącego oraz aktywności endpointów.
- Monitorować ruch wychodzący do usług komunikacyjnych i chmurowych, zwłaszcza anomalia związane z Telegramem.
- Aktualizować systemy EDR, NDR i SIEM o wskaźniki kompromitacji związane z rodzinami Foudre, Tonnerre i Tornado.
- Wykrywać zachowania wskazujące na malware wieloetapowe, w którym drugi komponent odpowiada za właściwą komunikację C2 i eksfiltrację.
- Ograniczyć możliwość uruchamiania nieautoryzowanych narzędzi komunikacyjnych na stacjach roboczych i serwerach.
- Wzmocnić monitoring DNS, proxy oraz logów endpointów pod kątem rotujących domen i infrastruktury ukrytej za pośrednikami.
- Prowadzić regularny threat hunting ukierunkowany na masową enumerację plików, nietypowe archiwa i regularny ruch wychodzący o niskim wolumenie.
- Zaktualizować procedury reagowania na incydenty o scenariusze szybkiej relokacji infrastruktury przez przeciwnika.
Podsumowanie
Powrót Prince of Persia potwierdza, że nawet dobrze rozpoznany aktor APT może skutecznie zmieniać taktykę po wcześniejszej ekspozycji. Uruchomienie serwera C2 w USA po raz pierwszy od 2016 roku, wykorzystanie hostingu współdzielonego oraz rozwój malware Tornado pokazują świadomą adaptację do presji badawczej i mechanizmów obronnych.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że skuteczna detekcja powinna koncentrować się na zachowaniu przeciwnika, wzorcach eksfiltracji oraz anomaliach komunikacyjnych, a nie tylko na krótkotrwałych wskaźnikach infrastrukturalnych.
Źródła
- SecurityWeek: Iran’s Prince of Persia APT Hosts C&C in US for First Time Since 2016 — https://www.securityweek.com/irans-prince-of-persia-apt-hosts-cc-in-us-for-first-time-since-2016/
- Semperis: Prince of Persia: A Threat Group Hiding in Plain Sight — https://www.semperis.com/blog/prince-of-persia-threat-group-hiding-in-plain-sight/
- Unit 42: Prince of Persia – Ride the Lightning: Infy — https://unit42.paloaltonetworks.com/unit42-prince-persia-ride-lightning-infy-returns-foudre/
- MITRE ATT&CK: Group Profile — https://attack.mitre.org/groups/G0051/