伊朗Prince of Persia APT在美托管C&C

资讯专家

事件概述
Semperis研究人员发现，伊朗政府支持的APT组织Prince of Persia（又称Infy）在停摆三个月后恢复活动，并将一个Tornado C&C服务器部署在美国共享主机上。这是该组织自2016年以来首次在美国境内托管C&C服务器。该组织已活跃近20年，主要目标包括伊朗异见人士，以及美国、欧洲和中东的政府与私营实体。

活动时间线
研究人员Tomer Bar（现Semperis安全研究AVP，此前在SafeBreach追踪该组织）表示，SafeBreach在2026年2月发布报告后一周内，攻击者下线了一个C&C服务器，随后迁移了其余服务器。Prince of Persia随后停止运营三个月，这是其近20年历史中已确认的最长停摆期；此前一些安静期更多反映研究人员可见性不足，而非确认无活动。此次停摆与2月28日爆发的伊朗与美国、以色列之间的战争时间重叠。

5月27日，该组织恢复运营，部署新的C&C服务器并恢复数据窃取。7天内，其恶意软件家族Tonnerre从单一受害者处窃取超过1800个文件。Bar称受害者数量仍然较少，可能说明该组织正在执行定向攻击，或难以攻陷新系统。

Tornado与美国托管服务器
8月，Bar发现一台新服务器，可能建于7月7日，用于支持Tornado的第二阶段。Tornado是该组织最新的恶意软件家族，具备通过Telegram bot窃取文件等能力。该服务器位于美国，是Prince of Persia自2016年以来首次在美国托管C&C服务器。研究人员指出，国家支持威胁组织利用云基础设施和Web托管商在美国隐藏C2并不罕见，但对这一攻击者而言并不寻常。

此次攻击者更换了服务商，放弃虚拟专用服务器（VPS），改用Namecheap共享主机。该共享主机承载数千个域名，包括合法站点和其他威胁组织运营的站点。Bar称：“这是我们最不预期找到Prince of Persia藏身的地方。”8月24日，该组织开始搭建另一台Tornado第二阶段服务器，并隐藏在Cloudflare之后。Semperis怀疑攻击者已意识到其美国托管服务器暴露。

处置建议
Semperis已分享与Prince of Persia基础设施相关的IoC，建议组织将相关IoC加入安全工具，并监控可疑的Telegram流量。原文未列出具体IoC值，安全团队应结合自身日志和威胁情报平台进行排查。