İran bağlantılı Prince of Persia grubu 2016'dan beri ilk kez ABD'de komuta sunucusu kullandı
Güvenlik şirketi Semperis'e göre İran devleti destekli Prince of Persia grubu, üç aylık bir sessizliğin ardından faaliyetlerine yeniden başladı ve ABD'deki ortak bir barındırma hizmetinde yeni bir komuta kontrol sunucusu kurdu. SecurityWeek bulguları 23 Ekim'de aktardı.
- 2 dk okuma
- 2 kaynak
Kısaca
- Infy adıyla da bilinen grup yaklaşık 20 yıldır faaliyette ve çoğunlukla İranlı muhalifleri hedef alıyor. Grubun bu yılki üç aylık sessizliği, tarihindeki en uzun duraklama.
- Semperis, grubun altyapısına ait tehdit göstergelerini paylaştı ve kurumlara şüpheli Telegram trafiğini izlemelerini öneriyor.
İran hükümeti tarafından desteklenen Prince of Persia grubu, bu yıl aylarca süren bir sessizliğin ardından komuta kontrol sunucularından birini ABD’den çalıştırdı. Güvenlik şirketi Semperis’in bulgularını 23 Ekim’de aktaran SecurityWeek’e göre bu, grubun 2016’dan beri ABD’de ilk kez sunucu barındırması.
Infy adıyla da izlenen grup yaklaşık 20 yıldır faaliyette. Hedefleri çoğunlukla İranlı muhalifler, bunun yanında ABD, Avrupa ve Orta Doğu’daki devlet kurumları ve özel kuruluşlar.
Üç aylık sessizlik
Grubu daha önce SafeBreach’te izleyen ve şimdi Semperis’in güvenlik araştırmalarından sorumlu yöneticilerinden olan Tomer Bar’a göre, SafeBreach’in Şubat 2026’daki raporundan sonraki bir hafta içinde grup bir komuta sunucusunu kapattı, ardından diğer sunucularını da taşıdı. Ardından faaliyetlerini üç ay boyunca durdurdu. Bu, grubun yaklaşık 20 yıllık geçmişindeki en uzun sessizlik. Duraklama, 28 Şubat’ta başlayan İran ile ABD ve İsrail arasındaki savaşla aynı döneme denk geldi.
Semperis, araştırmacılarının bu süre boyunca grubun altyapısını sürekli izlediğini, bu yüzden bunun doğrulayabildiği en uzun duraklama olduğunu söylüyor. Şirkete göre daha önceki sessiz dönemler grubun gerçekten durduğunu değil, araştırmacıların görüşündeki boşlukları yansıtıyordu.
Grup 27 Mayıs’ta yeni bir komuta sunucusuyla geri döndü ve veri hırsızlığına yeniden başladı. Yedi gün içinde, grubun zararlı yazılım ailelerinden Tonnerre, tek bir kurbandan 1.800’den fazla dosya çaldı. Bar’a göre kurban sayısı hâlâ az. Bu, grubun hedefli saldırılar yaptığına ya da yeni sistemlere girmekte zorlandığına işaret ediyor olabilir.
ABD’deki sunucu
Bar, ağustosta büyük olasılıkla 7 Temmuz’da kurulmuş yeni bir sunucu tespit etti. Bu sunucu, grubun en yeni zararlı yazılım ailesi Tornado’nun ikinci aşamasına hizmet veriyor. Tornado’nun yetenekleri arasında bir Telegram botu üzerinden dosya çalmak da var.
Sunucu ABD’deydi. Bar, devlet destekli grupların komuta sunucularını ABD’deki bulut ve barındırma hizmetlerine gizlemesinin alışılmadık olmadığını, ancak bu grup için alışılmadık bir davranış olduğunu söylüyor. Grup bu sunucu için sağlayıcı değiştirdi ve sanal özel sunucular (VPS) yerine, meşru siteler ve başka tehdit aktörlerine ait siteler dahil binlerce alan adını barındıran Namecheap’in ortak barındırma hizmetine geçti. Bar, “Prince of Persia’nın saklanmasını bekleyeceğimiz son yer burasıydı” dedi.
Grup 24 Ağustos’ta Cloudflare’in arkasına gizlenmiş başka bir Tornado ikinci aşama sunucusu kurmaya başladı. Semperis, grubun ABD’deki sunucusunun ortaya çıktığını fark etmiş olabileceğini düşünüyor.
Önerilen önlemler
Semperis, grubun altyapısına ait tehdit göstergelerini (IoC) paylaştı. Kurumlara bu göstergeleri güvenlik araçlarına eklemelerini ve şüpheli Telegram trafiğini izlemelerini öneriyor.