Un gruppo di cyber spionaggio sponsorizzato dallo Stato iraniano ha ospitato sul territorio statunitense un server di comando e controllo nei mesi successivi allo scoppio della guerra fra Iran, Stati Uniti e Israele. Lo documenta la ricerca di Semperis dedicata al threat actor noto come Prince of Persia: il gruppo era rimasto silente per tre mesi; alla ripresa, uno dei suoi malware ha esfiltrato più di 1.800 file da una sola vittima nella prima settimana. Il lavoro di analisi si basa sul monitoraggio dell'infrastruttura C2 del gruppo e della sua attività di esfiltrazione negli ultimi sei mesi.

Prince of Persia è un gruppo APT che colpisce principalmente dissidenti iraniani e organizzazioni pubbliche e private in Stati Uniti, Europa e Medio Oriente. I ricercatori fanno risalire le sue prime operazioni almeno al 2010, con la cosiddetta operazione Mermaid contro diplomatici danesi, che si sospetta sia stata una delle prime versioni della campagna. Nello stesso anno il gruppo ha compromesso due siti di notizie legati al Movimento di Resistenza Popolare dell'Iran, sfruttando vulnerabilità di ActiveX per attaccare i visitatori. In occasione delle elezioni presidenziali iraniane del 2013 ha preso di mira la stampa, compresa BBC Persian, oltre a membri della società civile e attivisti.

Il legame con Teheran è stato ricostruito nel tempo. Nel 2016 la Unit 42 di Palo Alto Networks ha attuato un’operazione di smantellamento del malware Infy togliendo al gruppo l'accesso alla maggior parte delle vittime e facendo emergere che queste si trovavano per lo più in Iran o erano dissidenti iraniani, e che le operazioni non avevano motivazioni economiche.

L’escalation tecnica

L'arsenale si è evoluto per generazioni successive. Il sopraccitato Infy è uno strumento di spionaggio completo, la cui variante più avanzata, Infy M, dispone di un pannello di controllo con interfaccia grafica, di funzionalità HTTP e FTP e dell'esecuzione remota di comandi. Dopo lo smantellamento è arrivato Foudre, un malware che identifica le vittime, esegue l'attacco iniziale, configura la persistenza, compie una prima ricognizione dell'host, registra i tasti premuti, ruba le credenziali salvate nel browser e valuta se il sistema infetto sia abbastanza importante da giustificare un'ulteriore infezione.

In caso di manifesto interesse entra in scena Tonnerre, che viene scaricato ed eseguito sulle vittime ritenute di valore dalla versione 8 di Foudre. Tonnerre registra l'audio, acquisisce schermate ed estrae in modo sistematico i documenti sensibili, oltre a credenziali, cookie e informazioni sull'ambiente di sistema. Le versioni più recenti usano un algoritmo di generazione dei domini (DGA) e ricorrono a bot e canali privati di Telegram come canale C2 di riserva. Per impedire ai ricercatori di dirottare il traffico verso infrastrutture proprie, il malware adotta firme RSA anti-takeover.

L'ultimo arrivato è Tornado, scoperto da SafeBreach nel febbraio 2026, che il gruppo installa sfruttando vulnerabilità one-day, per esempio exploit di WinRAR. Il malware comunica tramite HTTPS e tramite le API di Telegram, mimetizzandosi nel traffico legittimo. La chiave API del bot e l'identificativo della chat non sono scritti nel codice e vengono recuperati dalla configurazione del backend di comando e controllo. Un DGA fa ruotare di continuo i domini attivi, mentre la lettura di campi nascosti in transazioni blockchain permette agli attaccanti di cambiare l'instradamento verso i server C2 senza distribuire aggiornamenti alle vittime. La convalida delle firme RSA sulle richieste in arrivo serve a tenere fuori ricercatori e scanner automatici che tentano di mappare la rete del gruppo e la distribuzione delle vittime.

Silenzio stampa

A seguito della ricerca di SafeBreach il gruppo ha spento il server di comando e controllo in meno di una settimana e ne ha attivato uno nuovo nello stesso intervallo di indirizzi IP già noto, segno di una certa fretta. Lo stesso giorno ha svuotato sul server il file con l'elenco degli identificativi univoci (GUID) dei computer delle vittime che usava da anni per gestire le infezioni.

Gli analisti di Semperis stimano che i conflitti che coinvolgono l'Iran abbiano sempre causato interruzioni nell'operatività dei server di comando e controllo del gruppo. Nel caso del recente conflitto armato il silenzio è durato tre mesi, che è il periodo di inattività più lungo nella storia del gruppo, e le attività sono riprese il 27 maggio 2026, quando p stato avviato un nuovo server C2 ed è partita l'esfiltrazione verso un dominio di tipo dynamic DNS, che i ricercatori sono riusciti a osservare quasi in tempo reale. sola prima settimana Tonnerre ha sottratto più di 1.800 file alla vittima, i cui dettagli sono stati oscurati per ovvii motivi di privacy.

Il tassello mancante era il server C2 di secondo livello di Tornado, l’unico che custodisce la chiave API del bot di Telegram usato dagli attaccanti. Il malware la scarica soltanto sui computer di alcune vittime selezionate e se ne serve per inviare i file sottratti a una chat di gruppo controllata dal threat actor. Il server era stato individuato nel settembre 2025, poi era sparito ed è stato ritrovato dopo un anno, ad agosto 2026, negli Stati Uniti. Per nasconderlo il gruppo aveva cambiato provider di hosting, usando un metodo usato anche da altri gruppi sponsorizzati da uno Stato: hanno nascosto server C2 negli Stati Uniti con infrastrutture cloud e provider di web hosting. In questo caso il server si appoggia a un'infrastruttura di hosting condiviso fornita da Namecheap, che ospita migliaia di domini indipendenti, alcuni dei quali usati da altri threat actor. Così facendo il traffico del gruppo si confonde con quello di siti innocui e con quello di operazioni criminali estranee al gruppo.

Semperis raccomanda di aggiornare i controlli di sicurezza affinché rilevino gli IoC indicati nella ricerca, di monitorare il traffico anomalo verso Telegram e di mantenere i sistemi operativi aggiornati per impedire lo sfruttamento delle vulnerabilità one-day da parte di Tornado.