گروه Prince of Persia سرور جاسوسی خود را به آمریکا منتقل کرد؛ جزئیات بدافزار Tornado

پژوهشگران شرکت امنیت سایبری Semperis اعلام کرده‌اند که گروه سایبری منتسب به ایران با نام Prince of Persia، پس از یک دوره کاهش فعالیت، زیرساخت فرماندهی و کنترل یکی از بدافزارهای خود را روی سروری در آمریکا مستقر کرده است. این گروه با تغییر روش میزبانی، استفاده از سرویس‌های اشتراکی و بهره‌گیری از قابلیت‌های ارتباطی بدافزار Tornado تلاش کرده است زیرساخت عملیاتی خود را در میان وب‌سایت‌های عادی پنهان کند. گزارش منتشرشده در ۲۲ اکتبر ۲۰۲۶ نشان می‌دهد که محل میزبانی سرور و شیوه ارتباط بدافزار با مهاجمان، دو بخش مهم از تغییرات فنی این عملیات بوده‌اند.

تغییر محل میزبانی؛ سرور عملیاتی در زیرساخت آمریکا

بر اساس پژوهش منتشرشده از سوی Semperis، گروه Prince of Persia که در برخی گزارش‌های امنیتی با نام Infy نیز شناخته می‌شود، نزدیک به دو دهه است که در گزارش‌های مربوط به تهدیدهای سایبری هدفمند مطرح بوده است. پژوهشگر این شرکت، تومر بار، اعلام کرده که در جریان بررسی زیرساخت‌های گروه، یک سرور فرماندهی و کنترل مرتبط با مرحله دوم بدافزار Tornado شناسایی شده که در آمریکا میزبانی می‌شده است. این کشف از آن جهت اهمیت دارد که طبق سوابق بررسی‌شده توسط پژوهشگر، گروه پس از استفاده از میزبان‌های اروپایی و سرورهای مجازی خصوصی، بار دیگر به زیرساخت آمریکایی روی آورده بود؛ اتفاقی که از سال ۲۰۱۶ در بررسی‌های او سابقه نداشت. البته محل میزبانی یک سرور به‌تنهایی نشان نمی‌دهد که مالک زیرساخت یا شرکت ارائه‌دهنده خدمات از فعالیت آن آگاه بوده یا در آن مشارکت داشته است.

پژوهش Semperis همچنین از تغییر روش میزبانی خبر می‌دهد. این گروه به‌جای اتکای صرف به سرورهای مجازی خصوصی، از میزبانی اشتراکی استفاده کرده و بخشی از زیرساخت خود را پشت شبکه Cloudflare قرار داده است. در میزبانی اشتراکی، چندین وب‌سایت می‌توانند از منابع یک سرور یا بستر میزبانی مشترک استفاده کنند؛ بنابراین، شناسایی فعالیت مخرب ممکن است به بررسی دقیق‌تر دامنه‌ها، ارتباطات شبکه و رفتار نرم‌افزار نیاز داشته باشد. قرارگرفتن زیرساخت مشکوک در کنار وب‌سایت‌های عادی می‌تواند تشخیص آن را دشوارتر کند، هرچند این روش به‌خودی‌خود به معنای نامرئی‌شدن فعالیت مهاجم نیست. پژوهشگر همچنین تغییر پنل مدیریت از روش قبلی به cPanel و ایجاد زیرساخت جدید را از تغییرات مشاهده‌شده گزارش کرده است.

بدافزار Tornado چگونه ارتباط خود را پنهان می‌کند؟

یکی از بخش‌های مهم گزارش به بدافزار Tornado مربوط است؛ ابزاری که در مجموعه بدافزارهای منتسب به این گروه قرار می‌گیرد و برای ارتباط با زیرساخت فرماندهی و کنترل از روش‌های متعددی استفاده می‌کند. طبق تحلیل Semperis، قادر است از HTTPS و Telegram API برای انتقال داده‌ها و دریافت ارتباطات موردنیاز استفاده کند. HTTPS همان پروتکلی است که بخش بزرگی از ارتباطات عادی و رمزگذاری‌شده وب بر پایه آن انجام می‌شود. استفاده از این مسیر می‌تواند ترافیک بدافزار را در میان ارتباطات معمول شبکه قرار دهد و تشخیص آن را برای سامانه‌های دفاعی دشوارتر کند؛ به‌ویژه زمانی که نظارت امنیتی صرفاً به مسدودسازی پورت‌ها یا پروتکل‌های مشخص محدود باشد.

استفاده از رابط برنامه‌نویسی تلگرام (Telegram API) نیز امکان برقراری ارتباط از طریق زیرساخت یک سرویس شناخته‌شده را فراهم می‌کند. در گزارش فنی آمده است که بدافزار می‌تواند از کانال ارتباطی مبتنی بر تلگرام برای ارسال داده‌های سرقت‌شده استفاده کند. همچنین، اطلاعات مربوط به کلید API و شناسه گفت‌وگو لزوماً به‌صورت ثابت در فایل بدافزار قرار نگرفته و می‌تواند بر اساس پیکربندی زیرساخت فرماندهی و کنترل دریافت شود. این شیوه به گردانندگان بدافزار امکان می‌دهد بخشی از تنظیمات ارتباطی را تغییر دهند، بدون آنکه در همه موارد لازم باشد نسخه تازه‌ای از بدافزار را روی دستگاه آلوده نصب کنند.

Tornado از الگوریتم تولید دامنه (DGA) نیز بهره می‌برد؛ روشی که در آن نرم‌افزار می‌تواند دامنه‌های متعددی را بر اساس یک الگو تولید کند تا در صورت از دسترس خارج‌شدن برخی نشانی‌ها، امکان یافتن مسیرهای ارتباطی دیگر وجود داشته باشد. Semperis همچنین به استفاده از سازوکاری مبتنی بر بلاک‌چین برای تغییر مسیر انتقال داده‌ها اشاره کرده است. ترکیب این روش‌ها می‌تواند تداوم ارتباط میان بدافزار و زیرساخت مهاجم را افزایش دهد و شناسایی یا قطع کامل آن را دشوارتر کند. با این حال، وجود این قابلیت‌ها به معنای موفقیت قطعی در عبور از همه سامانه‌های امنیتی نیست؛ اثربخشی آن‌ها به تنظیمات شبکه، ابزارهای دفاعی و نحوه اجرای عملیات بستگی دارد.

دامنه فعالیت و اطلاعاتی که ممکن است به سرقت برود

گزارش Semperis، فعالیت این گروه را در ارتباط با اهدافی در خاورمیانه، اروپا و آمریکا بررسی می‌کند و می‌گوید قربانیان شناسایی‌شده در دوره اخیر عمدتاً از میان مخالفان سیاسی ایرانی بوده‌اند. در مجموعه بدافزارهای مرتبط با این فعالیت، Foudre به‌عنوان بارگذار مرحله نخست و Tonnerre به‌عنوان بدافزار مرحله دوم معرفی شده‌اند. طبق گزارش Infosecurity Magazine، قابلیت‌های خانواده بدافزاری مورد بحث می‌تواند شامل سرقت اسناد حساس، ثبت تصویر از صفحه نمایش و ضبط صدا باشد؛ قابلیت‌هایی که در صورت آلودگی موفق دستگاه، امکان دسترسی به اطلاعاتی فراتر از داده‌های عمومی را فراهم می‌کنند.

پژوهشگر Semperis می‌گوید پس از کاهش فعالیت قابل مشاهده گروه در فوریه ۲۰۲۶، شواهد تازه‌ای از بازگشت عملیات در ماه مه به دست آمده است. در یکی از نمونه‌های بررسی‌شده، بیش از ۱۸۰۰ فایل از یک قربانی طی هفته نخست فعالیت دوباره استخراج شده بود. این عدد به همان نمونه مشخص مربوط است و نباید آن را به مجموع قربانیان یا تمام عملیات گروه تعمیم داد. پژوهشگر همچنین تأکید کرده که شمار قربانیان شناسایی‌شده همچنان محدود بوده است؛ موضوعی که می‌تواند با هدفمندبودن حملات یا دشواری شناسایی کامل دامنه فعالیت ارتباط داشته باشد. بنابراین، شواهد منتشرشده بیشتر از یک عملیات هدفمند حکایت دارند تا یک آلودگی گسترده و فراگیر.

اهمیت اصلی این پژوهش در آن است که نشان می‌دهد بررسی امنیتی نباید تنها به شناسایی فایل‌های مخرب یا مسدودسازی یک نشانی اینترنتی محدود بماند. مهاجمان می‌توانند محل میزبانی را تغییر دهند، از سرویس‌های اشتراکی استفاده کنند و کانال‌های ارتباطی خود را با ابزارهای پرکاربرد اینترنتی ترکیب کنند. در چنین شرایطی، سازمان‌ها باید علاوه بر به‌روزرسانی سامانه‌ها و ابزارهای دفاعی، الگوهای غیرعادی ارتباط با سرویس‌های پیام‌رسان، ارتباطات خروجی نامتعارف، رفتار فرایندها و نشانه‌های استخراج حجم غیرمعمول داده را نیز بررسی کنند.

در مجموع، یافته‌های منتشرشده از تغییر راهبرد میزبانی و ارتباطی گروه Prince of Persia حکایت دارند. میزبانی سرور فرماندهی و کنترل در آمریکا، استفاده از زیرساخت اشتراکی و بهره‌گیری از HTTPS، تلگرام و تولید دامنه‌های پویا، مجموعه‌ای از روش‌ها را تشکیل می‌دهند که شناسایی و پیگیری عملیات را پیچیده‌تر می‌کنند. با این حال، این گزارش یک پژوهش درباره زیرساخت و فعالیت سایبری منتسب به یک گروه مشخص است و به‌تنهایی برای نتیجه‌گیری درباره مسئولیت هر نهاد یا اثبات ارتباط هر رویداد جداگانه کافی نیست.