Согласно новому исследованию компании SafeBreach Labs, иранская продвинутая постоянная угроза (APT), известная под именами «Prince of Persia» или «Infy», не прекращала свою деятельность в последние годы, вопреки видимому затишью. Группа значительно усилила свои технические возможности и операционную безопасность, а также начала использовать мессенджер Telegram для управления скомпрометированными системами.
Описание
Исследование, охватывающее период с 2022 по 2025 год, выявило множественные кампании, использующие новые версии вредоносных программ Foudre и Tonnerre, а также ранее неизвестные семейства. Ключевым открытием стало обнаружение новой версии бэкдора Tonnerre v50, который, по указанию командного сервера, подключается к приватной группе в Telegram. В этой группе находится бот, предположительно использующий API Telegram для отправки команд и получения похищенных данных, что может означать переход от использования протокола FTP в более ранних версиях.
В группе Telegram с названием «سرافراز» («sarafraz», что переводится как «с гордостью») был идентифицирован пользователь с персидским именем @ehsan8999100, который, вероятно, является одним из хакеров, стоящих за группой. Активность этого пользователя фиксировалась в декабре 2025 года. Кроме того, анализ IP-адресов тестовых машин злоумышленников, использовавшихся на протяжении нескольких лет, неизменно указывает на географическое расположение в Иране.
Исследователи также обнаружили как минимум три активные параллельные ветки разработки вредоносного ПО Foudre и Tonnerre, использующие разные алгоритмы генерации доменных имен (DGA). Помимо Tonnerre v50 с неизвестным DGA, активны варианты Tonnerre v12-16 с оригинальным алгоритмом на основе CRC32 и Tonnerre v17, использующий двухэтапную генерацию. Также был найден Foudre v34, использующий новый DGA-алгоритм с префиксом LOS1.
Специалисты SafeBreach Labs смогли получить доступ к множеству командных серверов группы, включая как старые, действовавшие с 2021 года, так и новые, развернутые в 2025-м. Большинство серверов, обнаруженных за последние два года, по-видимому, использовались для тестирования, что указывает на активную фазу разработки инструментов. В ходе исследования были впервые идентифицированы и ранние образцы вредоносного ПО группы, датируемые 2017-2020 годами, включая варианты Amaq News Finder, Deep Freeze и ранее неизвестное семейство Rugissement.
Несмотря на попытки группы скрыть свою деятельность, такие как частая смена серверов и процедуры удаления следов с машин нецелевых жертв, исследователям удалось сохранить беспрецедентный уровень наблюдения за её активностью. Анализ показывает, что группа Prince of Persia остаётся опасной и актуальной угрозой, в первую очередь для иранских диссидентов и организаций критической инфраструктуры по всему миру. Публикация индикаторов компрометации и технических деталей призвана помочь мировому сообществу кибербезопасности в обнаружении и противодействии этой развивающейся угрозе.
Индикаторы компрометации
