El grupo APT iraní «Prince of Persia» aloja su servidor de comando y control en EE. UU. por primera vez desde 2016

Un grupo de ci­ber­es­pio­na­je vin­cu­la­do al go­bierno de Irán, co­no­ci­do como Prin­ce of Per­sia o Infy, ha es­ta­do ac­ti­vo du­ran­te casi dos años y en­fo­ca sus ata­ques prin­ci­pal­men­te en di­si­den­tes ira­níes, ade­más de or­ga­ni­za­cio­nes gu­ber­na­men­ta­les y pri­va­das en Eu­ro­pa, Es­ta­dos Uni­dos y Orien­te Medio. Tras la pu­bli­ca­ción de un re­por­te a prin­ci­pios de 2026, los ata­can­tes des­ac­ti­va­ron un ser­vi­dor de co­man­do y con­trol y tras­la­da­ron los demás, lo que pro­vo­có una in­te­rrup­ción tem­po­ral en sus ac­ti­vi­da­des que coin­ci­dió con el con­flic­to bé­li­co ini­cia­do a fi­na­les de fe­bre­ro.

Las ope­ra­cio­nes del grupo se reac­ti­va­ron a fi­na­les de mayo me­dian­te la im­ple­men­ta­ción de un nuevo ser­vi­dor de co­man­do y con­trol, mo­men­to en el cual con­ti­nua­ron con la sus­trac­ción de in­for­ma­ción. Uti­li­zan­do una va­rian­te de su soft­wa­re ma­li­cio­so, lo­gra­ron ex­traer miles de ar­chi­vos de un único afec­ta­do en pocos días, aun­que la can­ti­dad total de víc­ti­mas se man­tie­ne re­du­ci­da, lo que su­gie­re que eje­cu­tan ofen­si­vas muy se­lec­ti­vas o que en­fren­tan di­fi­cul­ta­des para vul­ne­rar nue­vos sis­te­mas.

Pos­te­rior­men­te, se de­tec­tó la crea­ción de in­fra­es­truc­tu­ra tec­no­ló­gi­ca adi­cio­nal para dar so­por­te a las fases pos­te­rio­res de otro de sus pro­gra­mas ma­li­cio­sos, el cual em­plea un bot de men­sa­je­ría para el robo de ar­chi­vos. Dicho ser­vi­dor se ubicó en te­rri­to­rio es­ta­dou­ni­den­se, mar­can­do la pri­me­ra oca­sión desde el año pa­sa­do en que el grupo aloja una in­fra­es­truc­tu­ra de este tipo en dicho país, uti­li­zan­do un pro­vee­dor de alo­ja­mien­to com­par­ti­do en lugar de ser­vi­do­res pri­va­dos vir­tua­les ha­bi­tua­les.

Ante la po­si­ble ex­po­si­ción de este ser­vi­dor en Es­ta­dos Uni­dos, los ata­can­tes co­men­za­ron a con­fi­gu­rar otra in­fra­es­truc­tu­ra pro­te­gi­da por un ser­vi­cio de mi­ti­ga­ción y se­gu­ri­dad web. Como me­di­da de mi­ti­ga­ción, se han com­par­ti­do in­di­ca­do­res de com­pro­mi­so aso­cia­dos a estas ope­ra­cio­nes para que las or­ga­ni­za­cio­nes los in­cor­po­ren en sus he­rra­mien­tas de de­fen­sa y mo­ni­to­reen el trá­fi­co sos­pe­cho­so re­la­cio­na­do con la apli­ca­ción de men­sa­je­ría men­cio­na­da.