Prince of Persia กลุ่มแฮกเกอร์อิหร่านใช้เซิร์ฟเวอร์ C&C ในสหรัฐฯ

Prince of Persia กลุ่มภัยคุกคามระดับสูง (APT) ที่ได้รับการสนับสนุนจากรัฐบาลอิหร่าน กลับมาดำเนินการเซิร์ฟเวอร์ command-and-control (C&C) จากสหรัฐอเมริกาอีกครั้งในปีนี้ หลังจากปฏิบัติการเงียบหายไปนานหลายเดือน ตามรายงานล่าสุดจาก Semperis

กลุ่มภัยคุกคามรายนี้ หรือที่รู้จักในชื่อ Infy มีประวัติการทำงานยาวนานเกือบ 20 ปี โดยมุ่งเป้าโจมตีกลุ่มผู้เห็นต่างชาวอิหร่าน รวมถึงหน่วยงานภาครัฐและเอกชนในสหรัฐฯ ยุโรป และตะวันออกกลางเป็นหลัก

Tomer Bar รองประธานฝ่ายวิจัยความปลอดภัย (AVP of security research) ของ Semperis ระบุว่าหลังจากที่มีการเผยแพร่ รายงาน ของ SafeBreach เมื่อเดือนกุมภาพันธ์ 2026 เพียงหนึ่งสัปดาห์ กลุ่มแฮกเกอร์ได้สั่งปิดเซิร์ฟเวอร์ C&C เดิมและย้ายโครงสร้างพื้นฐานทั้งหมดทันที

เหตุการณ์ดังกล่าวนำไปสู่การหยุดปฏิบัติการนานถึงสามเดือน ซึ่งถือเป็นช่วงเวลาที่เงียบงันที่สุดในประวัติศาสตร์ของกลุ่ม โดยช่วงเวลาที่หยุดชะงักนี้คาบเกี่ยวกับช่วง สงครามระหว่างอิหร่าน สหรัฐฯ และอิสราเอล ที่ปะทุขึ้นเมื่อวันที่ 28 กุมภาพันธ์

Semperis ยืนยันกับ SecurityWeek ว่านี่คือช่วง downtime ที่ยาวนานที่สุดเท่าที่เคยบันทึกได้ เนื่องจากนักวิจัยมีการเฝ้าติดตามโครงสร้างพื้นฐานของกลุ่มอย่างต่อเนื่อง ต่างจาก ช่วงเวลาที่เงียบงัน ในอดีตที่มักเกิดจากข้อจำกัดในการมองเห็นข้อมูลของนักวิจัยเอง

ปฏิบัติการของ Prince of Persia เริ่มกลับมาเคลื่อนไหวอีกครั้งในวันที่ 27 พฤษภาคม ด้วยการติดตั้งเซิร์ฟเวอร์ C&C ใหม่เพื่อขโมยข้อมูล ภายในเวลาเพียงเจ็ดวัน Tonnerre ซึ่งเป็นหนึ่งในตระกูล malware ของกลุ่ม สามารถดึงไฟล์ออกไปได้มากกว่า 1,800 ไฟล์จากเหยื่อเพียงรายเดียว

อย่างไรก็ตาม Bar ตั้งข้อสังเกตว่าจำนวนเหยื่อในปัจจุบันยังมีไม่มากนัก ซึ่งอาจสะท้อนว่ากลุ่มนี้กำลังมุ่งเน้นการโจมตีแบบเจาะจงเป้าหมาย หรืออาจกำลังเผชิญกับอุปสรรคในการเจาะระบบใหม่ๆ

ในเดือนสิงหาคมที่ผ่านมา นักวิจัยพบเซิร์ฟเวอร์ใหม่ที่สร้างขึ้นเมื่อวันที่ 7 กรกฎาคม เพื่อรองรับมัลแวร์ Tornado ขั้นที่สอง ซึ่งเป็นมัลแวร์รุ่นล่าสุดที่มีความสามารถในการขโมยไฟล์ผ่าน Telegram bot โดยความน่าสนใจคือเซิร์ฟเวอร์นี้ตั้งอยู่ในสหรัฐอเมริกา ซึ่งนับเป็นครั้งแรกตั้งแต่ปี 2016 ที่กลุ่มนี้เลือกใช้โฮสติ้งภายในประเทศ

Bar ให้ความเห็นว่า แม้การที่กลุ่มแฮกเกอร์ระดับรัฐจะซ่อนเซิร์ฟเวอร์ C2 ไว้ในโครงสร้างพื้นฐานคลาวด์ของสหรัฐฯ จะไม่ใช่เรื่องแปลกใหม่ แต่ถือเป็นพฤติกรรมที่ผิดปกติอย่างมากสำหรับกลุ่ม Prince of Persia โดยครั้งนี้พวกเขาเปลี่ยนจากการใช้ virtual private servers (VPSs) มาเป็น shared hosting ของ Namecheap ซึ่งเป็นที่ตั้งของโดเมนจำนวนมหาศาล

ต่อมาในวันที่ 24 สิงหาคม พบว่ากลุ่มแฮกเกอร์ได้เริ่มตั้งค่าเซิร์ฟเวอร์ Tornado อีกเครื่องหนึ่งโดยซ่อนอยู่หลัง Cloudflare ซึ่ง Semperis คาดการณ์ว่ากลุ่มแฮกเกอร์อาจรู้ตัวแล้วว่าเซิร์ฟเวอร์ที่โฮสต์ในสหรัฐฯ ถูกตรวจพบ

ทาง Semperis ได้เผยแพร่ข้อมูล IoCs ที่เชื่อมโยงกับโครงสร้างพื้นฐานของกลุ่ม Prince of Persia พร้อมแนะนำให้องค์กรต่างๆ อัปเดตข้อมูลในระบบรักษาความปลอดภัยและเฝ้าระวังการรับส่งข้อมูลผ่าน Telegram ที่ผิดปกติอย่างใกล้ชิด