Il gruppo di minaccia informatica Prince of Persia, sponsorizzato dallo Stato iraniano, ha gestito all’inizio del 2026 un server di comando e controllo (C2) sul territorio degli Stati Uniti. Lo ha annunciato Semperis, azienda specializzata nella cyber resilienza basata sull’identità e nella risposta alle crisi, in un comunicato diffuso il 23 ottobre 2026 da Hoboken, nel New Jersey. La scoperta è di Tomer Bar, AVP of Security Research della società, che segue le attività del gruppo da dieci anni.
Il secondo server C2 negli Stati Uniti in dieci anni
Secondo quanto riferito da Semperis, Bar ha individuato i primi due casi in cui Prince of Persia ha gestito server C2 negli Stati Uniti: il primo risale al 2016, il secondo a quest’anno. Il nuovo server è stato scoperto nell’agosto 2026.
Le vittime più recenti del gruppo, precisa l’azienda, sono principalmente dissidenti iraniani.
Il ritorno sul suolo statunitense è considerato degno di nota perché, in precedenza, Prince of Persia si era affidato soprattutto a servizi di hosting europei e a server privati virtuali (VPS)
Il silenzio dopo il 28 febbraio e la nuova infrastruttura
Stando alla ricerca, il gruppo era scomparso dalla scena dopo l’inizio della guerra tra Iran, Stati Uniti e Israele, il 28 febbraio. In seguito è passato a un hosting condiviso, ha modificato il proprio pannello di gestione remota e ha iniziato a costruire una nuova infrastruttura dietro Cloudflare.
In questo modo, sottolinea Semperis, Prince of Persia è riuscito a nascondere efficacemente le proprie operazioni tra siti web innocui e infrastrutture utilizzate da altri attori malintenzionati.
Telegram, domini generati e blockchain
Per mantenere resiliente la propria infrastruttura di comando e controllo, il gruppo si appoggia a diversi strumenti. Tra questi, la ricerca cita i canali API di Telegram, gli algoritmi di generazione di domini (DGA) e tecniche di esfiltrazione dei dati basate sulla blockchain.
Il comunicato descrive inoltre Prince of Persia come un gruppo che continua a sviluppare malware sempre più difficili da rilevare.
Le parole di Tomer Bar
«Prince of Persia è uscito dalla scena nel febbraio 2026, all’inizio del conflitto con gli Stati Uniti e Israele. Ciò non è insolito, dato che i conflitti geopolitici che coinvolgono l’Iran comportano periodi di inattività per il gruppo di hacker», ha affermato Tomer Bar.
«Ciò che mi ha sorpreso questa volta, tuttavia, è stata la decisione di Prince of Persia di ospitare il nuovo server C2 per la prima volta in 10 anni sul suolo statunitense, proprio nel momento in cui è iniziato il conflitto con gli Stati Uniti e Israele», ha aggiunto il ricercatore. «Questo è l’ultimo posto in cui ci saremmo aspettati di trovare Prince of Persia nascosto».
Le raccomandazioni per i team di sicurezza
Semperis indica alcune misure che le organizzazioni possono adottare per proteggersi dalle tecniche utilizzate dal gruppo:
- mantenere aggiornati i controlli di sicurezza, così da garantire la protezione dagli indicatori di compromissione (IOC) individuati nella ricerca;
- monitorare il traffico insolito verso Telegram;
- assicurarsi che i sistemi operativi siano completamente aggiornati.
La ricerca completa, con l’elenco degli indicatori di compromissione, è disponibile sul blog di Semperis.
Aiutaci a crescere: lasciaci un like :)