Prince of Persia сменила инфраструктуру после публикации расследования
После публикации результатов расследования в феврале 2026 года группа Prince of Persia прекратила работу известной инфраструктуры, удалила идентификаторы GUID жертв из файлов управления и развернула новые серверы C2. За одну неделю в ходе наблюдаемой активности с одной жертвы похитили более 1800 файлов.
Инструменты Prince of Persia и их возможности
Prince of Persia действует как минимум с 2010 года. Группа нацеливалась на иранских диссидентов, активистов, представителей СМИ и дипломатов, а также на организации государственного и частного секторов в Иране, США, Европе и на Ближнем Востоке. В рамках кампаний она компрометировала новостные сайты и использовала уязвимости ActiveX для атак на посетителей.
Инструментарий группы включает Infy, Foudre, Tonnerre и Tornado. Вместе они образуют многоэтапную шпионскую экосистему. Infy служит полнофункциональной платформой слежки. Её продвинутый вариант Infy M поддерживает скрытую графическую панель управления, обмен данными по HTTP и FTP и удалённое выполнение команд.
Foudre в первую очередь работает как загрузчик первого этапа и может устанавливать Tonnerre против целей более высокого приоритета. Tonnerre поддерживает слежку и кражу данных: вредоносное ПО может захватывать аудиоданные и скриншоты, собирать документы, извлекать учётные данные и файлы cookie, а также получать системную информацию. Для связи Tonnerre использует HTTP и API Telegram; боты и приватные каналы Telegram служат резервными каналами C2. Чтобы помешать исследователям перехватывать инфраструктуру или перенаправлять её, применяется аутентификация на основе RSA.
Tornado дополняет этот инструментарий каналами C2 на основе HTTPS и Telegram, динамической генерацией доменных имён и маршрутизацией C2 с использованием блокчейна. Ключи API Telegram и идентификаторы чатов могут извлекаться из конфигурации бэкенда, а не встраиваться непосредственно в вредоносное ПО. Tornado декодирует данные транзакций, чтобы получить обновлённые сведения о маршрутизации. Это позволяет менять инфраструктуру без замены вредоносного ПО.
Инфраструктура и распространение
Группа продолжила использовать серверы для Foudre, Tonnerre и обоих этапов Tornado. Она перешла от давно использовавшейся европейской инфраструктуры VPS к хостингу общего пользования, сменила панели управления с CyberPanel на cPanel, а впоследствии разместила инфраструктуру за Cloudflare. Сервер второго этапа Tornado обнаружили на хостинге общего пользования в США. На нём находился файл конфигурации, связанный с эксфильтрацией данных через Telegram.
По сообщению исследователей, вредоносное ПО распространялось с использованием недавно эксплуатируемых уязвимостей программного обеспечения, в том числе эксплойтов, связанных с WinRAR. Оно также применяет методы обхода средств защиты на конечных точках и проверяет подпись RSA, чтобы ограничивать несанкционированные запросы к C2.
Авторы отчёта рекомендуют отслеживать доменные имена и IP-адреса, подозрительный трафик в Telegram, домены, генерируемые с помощью DGA, необычные HTTPS-соединения и признаки эксплуатации устаревшего программного обеспечения.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
