En un audaz movimiento de contrainteligencia, el grupo de ciberespionaje estatal iraní Prince of Persia ha reestructurado por completo sus operaciones tras tres meses de letargo forzado por la reciente escalada militar entre Washington y Teherán.
La maniobra, sacada a la luz por la firma de seguridad Semperis, rompe un patrón de conducta de más de una década y coloca a la ciberguerrilla iraní en el patio trasero de su principal rival.
Durante años, este actor de amenazas avanzado operó mediante servidores privados virtuales en Europa. Sin embargo, tras la ofensiva aliada de la pasada primavera y las subsiguientes respuestas de Teherán, el grupo suspendió sus actividades entre febrero y mayo, firmando el apagón operativo más largo de sus 16 años de trayectoria.
Sin embargo, cuando volvió a encender la maquinaria, lo hizo ocultando el tráfico de su herramienta más agresiva, el troyano Tornado, en proveedores de alojamiento compartido en EE.UU. como Namecheap, donde la actividad maliciosa se confunde fácilmente con el tráfico de miles de páginas web legítimas.
“Para nuestra sorpresa, el actor de amenazas decidió alojar su nuevo servidor en suelo estadounidense por primera vez en una década, coincidiendo con el inicio de las hostilidades. Es el último lugar donde esperábamos encontrarlo oculto”, ha señalado Tomer Bar, AVP de Investigación de Seguridad en Semperis.
Cómo operan estos atacantes persas
A diferencia de las bandas de ransomware, dedicadas al secuestro de datos por rescate económico, Prince of Persia busca exclusivamente inteligencia. Vinculado al régimen iraní desde sus primeros ataques en 2010 contra opositores y medios de comunicación, el grupo mantiene un esquema de espionaje en varias fases muy bien definido.
Primero utilizan Foudre, un código que mapea la identidad de la víctima, evalúa el valor del equipo y roba credenciales básicas.
Si el objetivo es estratégico, despliegan herramientas más potentes como Tonnerre o Tornado, capaces de activar micrófonos para grabar audio en directo, realizar capturas de pantalla y barrer documentos confidenciales.
Para esquivar los cortafuegos, el grupo canaliza la información robada a través de la API pública de Telegram y utiliza algoritmos que cambian continuamente sus direcciones web.
Pese a la extrema cautela del grupo APT, que emplea firmas criptográficas para impedir que los analistas bloqueen o analicen sus redes, la investigación revela que la exfiltración de datos no se ha detenido. Solo en la primera semana tras su reaparición en mayo, los investigadores detectaron el robo de más de 1.800 archivos de una sola víctima.
Leave a Reply