گروه تهدید پیشرفته (APT) موسوم به Prince of Persia، پس از یک دوره فعالیت متوقف شده، عملیات خود را با تغییرات گسترده در زیرساخت‌ها از سر گرفته است. این گروه برای اولین بار از سال ۲۰۱۶، یکی از سرورهای فرماندهی و کنترل (C&C) خود را در ایالات متحده میزبانی کرده است.
این عامل تهدید (Threat Actor) که فعالیت آن نزدیک به دو دهه است، عمدتاً مخالفان سیاسی و همچنین نهادهای دولتی و خصوصی در ایالات متحده، اروپا و خاورمیانه را هدف قرار می‌دهد. پس از یک وقفه فعالیت سه ماهه، عملیات این گروه با استقرار سرورهای جدید و از سرگیری سرقت داده‌ها آغاز شده است.
بدافزارهای جدید و تغییر تاکتیک‌ها
تحقیقات نشان می‌دهد که این گروه از خانواده بدافزارهای جدیدی به نام Tornado استفاده می‌کند. این بدافزار قابلیت‌های پیشرفته‌ای از جمله سرقت فایل‌ها از طریق یک ربات تلگرام (Telegram bot) را داراست. همچنین بدافزار Tonnerre نیز در عملیات‌های اخیر این گروه مشاهده شده است.
یکی از تغییرات قابل توجه در تاکتیک‌های این گروه، تغییر روش میزبانی سرورها است. آن‌ها با رها کردن سرورهای مجازی خصوصی (VPS)، به سراغ سرویس‌های میزبانی مشترک (Shared Hosting) رفته‌اند تا فعالیت خود را در میان هزاران دامنه قانونی پنهان کنند. علاوه بر این، برای پنهان‌سازی بیشتر، برخی از سرورهای مرحله دوم بدافزار Tornado را پشت سرویس Cloudflare قرار داده‌اند.
توصیه‌های امنیتی
سازمان‌ها توصیه می‌شوند شاخص‌های آلودگی (IoCs) مرتبط با زیرساخت‌های این گروه را در ابزارهای امنیتی خود بارگذاری کرده و ترافیک مشکوک در پروتکل تلگرام را به دقت رصد کنند.
