İranlı Prince of Persia grubu 2016'dan bu yana ilk kez ABD'de komuta sunucusu kullanıyor

Yaklaşık 20 yıldır faaliyet gösteren İran devleti destekli tehdit grubu Prince of Persia, 2016'dan bu yana ilk kez Amerika Birleşik Devletleri'nde komuta kontrol (C&C) altyapısı barındırıyor. SecurityWeek'in aktardığı Semperis araştırmasına göre Infy adıyla da takip edilen grup, geçmişte İranlı muhalifleri ve ABD, Avrupa ve Orta Doğu'daki kamu ve özel kuruluşları hedef aldı. Bulgular, grubun uzun bir aranın ardından veri hırsızlığına geri döndüğünü ve altyapısını meşru barındırma hizmetleri arasında gizleyecek şekilde değiştirdiğini gösteriyor.

Neler oldu?

SecurityWeek'e göre daha önce SafeBreach'te bu grubu izleyen Tomer Bar liderliğindeki Semperis araştırmacıları, 2026 boyunca grubun altyapısını takip etti. SafeBreach'in şubatta grup hakkında rapor yayımlamasından sonraki bir hafta içinde saldırganlar bir C&C sunucusunu kapattı, ardından diğer sunucularını taşıdı. Grup bu süreçte yaklaşık üç ay sessiz kaldı; bu duraklama, 28 Şubat'ta İran ile ABD ve İsrail arasında başlayan savaşla aynı döneme denk geldi. Semperis bunu, doğrulayabildiği en uzun faaliyet arası olarak nitelendirdi.

Faaliyetler 27 Mayıs 2026'da yeni bir C&C sunucusuyla yeniden başladı ve veri hırsızlığı sürdü. Semperis'e göre grubun Tonnerre zararlısı, yeniden başlangıçtan sonraki yedi gün içinde tek bir kurbandan 1.800'den fazla dosya çaldı.

Teknik detaylar

Rapora göre grubun en yeni zararlı yazılım ailesi Tornado, dosyaları bir Telegram botu aracılığıyla sızdırabiliyor. Araştırmacılar ağustosta, Tornado'nun ikinci aşamasını destekleyen ve muhtemelen 7 Temmuz'da kurulan ABD merkezli yeni bir sunucu tespit etti. 24 Ağustos'ta ise ikinci bir sunucunun Cloudflare arkasında kurulmaya başlandığı görüldü; Semperis bunun, grubun ABD'deki sunucusunun ifşa olduğunu fark etmesine bir tepki olduğunu düşünüyor.

Saldırganlar ayrıca sanal özel sunuculardan, binlerce alan adına hizmet veren Namecheap paylaşımlı barındırma hizmetine geçti. Bar, "Prince of Persia'nın saklanmasını beklediğimiz son yer burasıydı" dedi ve devlet destekli grupların C2 sunucularını ABD içinde gizlemesinin olağan dışı olmadığını ekledi.

Kimler etkileniyor?

Semperis'e göre kurban sayısı düşük; bu durum hedefli saldırılara ya da yeni sistemlerin ele geçirilmesindeki zorluklara işaret ediyor olabilir. Araştırmacılar, gruba atfedilen önceki sessiz dönemlerin de doğrulanmış bir hareketsizlikten çok görünürlük eksikliğinden kaynaklandığını belirtti.

Ne yapmalı?

SecurityWeek'in aktardığına göre kurumlar, Semperis'in blogunda yayımladığı tehdit göstergelerini (IoC) güvenlik araçlarına eklemeli ve özellikle Telegram ile iletişim kurması için iş gerekçesi bulunmayan sistemlerden gelen şüpheli Telegram trafiğini izlemeli. Paylaşımlı barındırma hizmetlerindeki ve CDN arkasındaki alan adlarına giden trafik de varsayılan olarak güvenilir kabul edilmemeli.