O Prince of Persia, grupo de ameaça patrocinado pelo governo iraniano, operou um de seus servidores de comando e controle (C&C) a partir dos Estados Unidos neste ano, após um longo período de inatividade em suas operações, segundo a Semperis.
O ator de ameaça persistente avançada (APT, na sigla em inglês), também rastreado como Infy, atua há cerca de 20 anos. Seus alvos são principalmente dissidentes iranianos, além de entidades governamentais e privadas nos EUA, na Europa e no Oriente Médio.
Tomer Bar, vice-presidente associado (AVP, na sigla em inglês) de pesquisa de segurança da Semperis, acompanhou o grupo em seu cargo anterior na SafeBreach. Ele afirma que, uma semana após o relatório da SafeBreach de fevereiro de 2026, relatório, os invasores tiraram um servidor C&C do ar e depois realocaram o restante de seus servidores.
O Prince of Persia então interrompeu suas operações por três meses, um silêncio mais longo do que qualquer outro em sua história de quase duas décadas. A pausa coincidiu com a guerra entre o Irã e os EUA e Israel, iniciada em 28 de fevereiro.
A Semperis afirmou à SecurityWeek que este é o maior período de inatividade que a empresa já confirmou, já que seus pesquisadores monitoraram a infraestrutura do grupo o tempo todo. Os períodos de silêncio anteriores refletiam lacunas na visibilidade dos pesquisadores sobre as operações do grupo, e não inatividade confirmada.
As operações do Prince of Persia foram retomadas em 27 de maio, com a implantação de um novo servidor C&C, e o roubo de dados voltou a acontecer. Em sete dias, o Tonnerre, uma das famílias de malware do grupo, extraiu mais de 1.800 arquivos de uma única vítima.
Bar afirma que o número de vítimas ainda é pequeno, o que pode indicar que o grupo está realizando ataques direcionados ou tendo dificuldade para comprometer novos sistemas.
Em agosto, Bar identificou um novo servidor, provavelmente criado em 7 de julho, que dá suporte à segunda etapa do Tornado. O Tornado é a família de malware mais recente do grupo, e suas funções incluem o roubo de arquivos por meio de um bot do Telegram.
O servidor estava localizado nos EUA. Segundo Bar, é a primeira vez desde 2016 que o grupo hospeda um servidor C&C dentro do país.
“É comum que grupos de ameaça patrocinados por Estados escondam servidores C2 (comando e controle) dentro dos Estados Unidos, usando infraestrutura em nuvem e provedores de hospedagem web, mas esse comportamento é incomum para este ator”, afirma Bar.
Neste servidor, os invasores trocaram de provedor. Também abandonaram os servidores privados virtuais (VPSs, na sigla em inglês) em favor da hospedagem compartilhada da Namecheap, que abriga milhares de domínios, incluindo sites legítimos e alguns operados por outros atores de ameaça.
“Este é o último lugar onde esperávamos encontrar o Prince of Persia escondido”, disse Bar.
Em 24 de agosto, o grupo começou a configurar outro servidor de segunda etapa do Tornado, escondido atrás da Cloudflare. A Semperis suspeita que os invasores perceberam que o servidor hospedado nos EUA havia sido exposto.
A Semperis compartilhou indicadores de comprometimento (IoCs, na sigla em inglês) ligados à infraestrutura do Prince of Persia. A empresa recomenda que as organizações os adicionem às suas ferramentas de segurança e fiquem atentas ao tráfego suspeito no Telegram.
