De APT-groep Prince of Persia (ook bekend als Infy) heeft dit jaar opnieuw command-and-control (C&C) infrastructuur ingezet die voor het eerst in de Verenigde Staten is bevestigd sinds 2016. Volgens Semperis volgde de activiteit op een periode van langere stilte, waarna datadiefstal weer op gang kwam. Dit is niet alleen nieuws over dreiging, maar ook een reden om je monitoring te verscherpen.
In dit artikel leggen we uit wat er is waargenomen, hoe het nieuwe patroon in hosting eruitziet en welke praktische signalen (met name rond Telegram-verkeer) je kunt meenemen in je beveiligingsaanpak.
Prince of Persia C&C: weer zichtbaar na een lange pauze
Semperis beschrijft dat de groep maandenlang nauwelijks actief leek, waarna de activiteiten in mei weer startten. De onderzoekers koppelen dit aan hun voortdurende zicht op de infrastructuur. Belangrijk: eerdere “rustperiodes” bleken volgens Semperis soms vooral het gevolg van beperktere zichtbaarheid, niet van aantoonbare inactiviteit.
De groep, die al circa twintig jaar actief is, richt zich volgens Semperis vooral op gerichte doelwitten. Daarbij gaat het onder meer om Iraanse dissidenten en ook om overheids- en private organisaties in de VS, Europa en het Midden-Oosten.
Nieuwe C&C in de VS: afwijkend gedrag
Wat de waarschuwing extra relevant maakt, is het bevestigde gebruik van een C&C-server in de VS. Semperis stelt dat dit de eerste keer sinds 2016 is dat Prince of Persia C&C binnen de VS host.
Nation-state gesponsorde groepen verbergen C&C soms in cloudomgevingen en webhostingdiensten binnen de VS. Dat is op zichzelf niet uitzonderlijk. Toch noemt Semperis het gedrag van deze actor opmerkelijk, omdat de groep juist van dat “verwachte” patroon afwijkt bij deze locatiekeuze.
Provider-switch en andere hostingkeuzes
Naast de geografische stap beschrijft Semperis ook een verandering in hoe de aanvallers hun infrastructuur inrichten. Ze wisselden van provider en stopten met het gebruik van virtuele private servers (VPS) ten gunste van Namecheap shared hosting. Volgens de onderzoekers is die omgeving ingericht met duizenden domeinen, waaronder zowel legitieme sites als infrastructuur die ook door andere dreigingsactoren wordt ingezet.
Semperis geeft aan dat dit “een plek was die ze niet hadden verwacht” om Prince of Persia te verbergen. Voor defenders is dat precies de les: niet alleen bekende drempels (zoals een opvallende VPS), maar ook alledaagse hostingomgevingen kunnen onderdeel worden van het aanvalspatroon.
Terugkeer van operaties: data diefstal en timing
De herstart van de operaties valt volgens Semperis op 27 mei. Vanaf dat moment is opnieuw C&C-gerelateerde activiteit en datadiefstal waargenomen. Binnen zeven dagen wist de malwarefamilie Tonnerre volgens Semperis meer dan 1.800 bestanden van één slachtoffer te exfiltreren.
Het aantal slachtoffers dat Semperis tot dan toe kon bevestigen, bleef relatief beperkt. Dat kan volgens Bar betekenen dat de groep vooral heel gericht werkt, of dat ze moeite hebben met het compromitteren van nieuwe systemen.
Tornado-familie: tweede fase via Telegram
Later in het jaar identificeerden de onderzoekers extra infrastructuur die aansluit op de nieuwste malwarefamilie van de groep: Tornado. Semperis meldt dat in augustus een nieuwe server werd gevonden die (waarschijnlijk) op 7 juli is gebouwd en ondersteuning biedt voor de tweede fase van Tornado.
Een van de belangrijkste observaties is dat Tornado bestandsinhoud kan stelen via een Telegram-bot. Dat betekent dat communicatie via Telegram niet enkel “achtergrondverkeer” is, maar ook een mogelijke schakel in de aanval.
Cloudflare-omleiding en verdere verharding
Op 24 augustus begon de groep met het opzetten van opnieuw een Tornado tweede-stag server. Deze keer werd de infrastructuur volgens Semperis verborgen achter Cloudflare. Semperis vermoedt dat de aanvallers dit deden nadat ze hun Amerikaanse C&C-server als blootgesteld hadden ingeschat.
Voor organisaties betekent dit: als je eenmaal aanwijzingen ziet dat een actor infrastructuur herpositioneert, is dat vaak een signaal dat hun operaties doorgaan, maar met verbeterde opzet tegen detectie.
Wat je nu kunt doen als verdediging
Semperis deelde indicatoren (IoC’s) gekoppeld aan de infrastructuur van Prince of Persia. De kern van het advies: neem die IoC’s op in je beveiligingsinstrumenten en verscherp je aandacht voor verdachte signalen in het verkeer.
- Monitor Telegram-verkeer op ongebruikelijke patronen, zeker wanneer je dit kunt koppelen aan bekende of verdachte indicatoren.
- Integreer IoC’s in SIEM/EDR en threat intelligence workflow, zodat je niet alleen “alerts” ziet maar ook gericht kunt onderzoeken.
- Let op hosting- en providerveranderingen in je omgeving en in logdata: provider-switches kunnen wijzen op een respons op detectie.
Als je daarnaast bredere lessen zoekt over hoe APT’s en gerichte aanvallen zich manifesteren in moderne omgevingen, kan het helpen om ook patronen rond “insider” en agentgedreven dreiging mee te nemen. Zie bijvoorbeeld AI-agenten als insider threat: wat je nu ziet voor context over signalen die buiten klassieke malware-waarschuwingen vallen.
Waarom dit incident relevant is voor securityteams
De combinatie van factoren maakt de melding van Semperis belangrijk: een lange stilte die doorbreekt, nieuw bevestigde C&C-locatie in de VS, veranderingen in hostingkeuzes en een malwarefamilie die bestandsdiefstal koppelt aan communicatie via Telegram.
Daar komt bij dat Semperis aangeeft dat het aantal bevestigde slachtoffers toen nog beperkt was. Juist in dat stadium is de kans het grootst dat je met extra monitoring (en snelle IoC-verwerking) de impact kunt verkleinen, voordat een grotere golf aan compromissen plaatsvindt.
Conclusie
De waarschuwing rond Prince of Persia C&C laat zien dat deze APT-groep haar infrastructuur actief hertekent: na een langere pauze herstartte ze in mei, zette ze een nieuwe C&C-omgeving in (voor het eerst sinds 2016 in de VS) en bouwde ze daarna door met Tornado-infrastructuur die koppelt aan Telegram en inzet achter Cloudflare. Voor organisaties is het advies helder: zet IoC’s om in actie en verscherp vooral de monitoring van verdachte Telegram-gerelateerde signalen.
Bron: https://www.securityweek.com/irans-prince-of-persia-apt-hosts-cc-in-us-for-first-time-since-2016/
