Selamlar,
Semperis'in raporuna göre İran devleti bağlantılı Prince of Persia (diğer adıyla Infy) grubu, bu yıl komuta-kontrol (C2) sunucularından birini ABD'de çalıştırdı; bu, 2016'dan beri ilk kez. SecurityWeek konuyu aktardı. Yaklaşık 20 yıldır faal olan ve çoğunlukla İranlı muhalifler ile ABD/Avrupa/Orta Doğu'daki kurumları hedefleyen grup, uzun bir sessizliğin ardından dikkat çeken bir altyapı tercihi yaptı. Burada olayı ve savunma çıkarımlarını ele alıyorum.
Konuda anlatılacaklar
- Prince of Persia kim?
- Üç aylık sessizlik
- ABD'de barınma: Namecheap paylaşımlı hosting
- Tornado zararlısı
- Savunma çıkarımları
1. Prince of Persia kim?
Tomer Bar'ın (Semperis) izlediği grup, neredeyse yirmi yıldır faal. Hedefleri çoğunlukla İranlı muhalifler, yanında ABD, Avrupa ve Orta Doğu'daki kamu ve özel kuruluşlar.
2. Üç aylık sessizlik
Bir başka firmanın Şubat 2026 raporundan bir hafta sonra grup bir C2 sunucusunu kapattı ve diğerlerini taşıdı, ardından üç ay boyunca operasyonlarını durdurdu. Bu, Semperis'in doğruladığı en uzun kesinti. Operasyonlar 27 Mayıs'ta yeni bir C2 ile yeniden başladı; yedi gün içinde Tonnerre adlı zararlı tek bir mağdurdan 1.800'den fazla dosya sızdırdı.
3. ABD'de barınma
Ağustos'ta Bar, muhtemelen 7 Temmuz'da kurulan, Tornado'nun ikinci aşamasını destekleyen yeni bir sunucu buldu. Bu sunucu ABD'deydi; grubun 2016'dan beri ülke içinde C2 barındırmasının ilk örneği. Daha da ilginci, saldırganlar VPS yerine binlerce alan adının bulunduğu Namecheap paylaşımlı hosting'e geçti. Bar'ın ifadesiyle: "Prince of Persia'yı saklanırken bulmayı en son bekleyeceğimiz yerdi." 24 Ağustos'ta grup, Cloudflare arkasında gizlenen başka bir Tornado ikinci aşama sunucusu kurmaya başladı; Semperis, ABD sunucusunun ifşa olduğunu fark ettiklerini düşünüyor.
4. Tornado zararlısı
Tornado, grubun en yeni zararlı ailesi; yeteneklerinden biri bir Telegram botu üzerinden dosya çalmak. Araştırma özetlerine göre grup HTTPS ve Telegram API tabanlı C2, DGA alan adları ve RSA ile doğrulanan istekler kullanıyor.
5. Savunma çıkarımları
- Coğrafi kökene göre güven olmaz. "ABD IP'si = güvenli" varsayımı tehlikeli; devlet aktörleri de ülke içi bulut/hosting kullanıyor.
- Paylaşımlı hosting C2'si tespiti zordur. Meşru sitelerle aynı IP'yi paylaştığı için salt IP engelleme yetmez; alan adı ve davranış bazlı tespit gerekir.
- Şüpheli Telegram trafiğini izleyin. Semperis, kurumlara IoC'leri araçlarına eklemeyi ve Telegram trafiğini gözlemlemeyi öneriyor.
- DGA alan adlarını avlayın. Algoritmik üretilmiş alan adlarına giden DNS sorguları güçlü bir göstergedir.
Sonuç
Prince of Persia vakası, atıf ve altyapı takibinin ne kadar değerli olduğunu gösteriyor. Uzun soluklu bir aktörün altyapı alışkanlığını değiştirmesi, savunucular için hem yeni bir risk hem de yeni bir tespit fırsatı. Siz C2 tespitinde IP'ye mi, alan adı/davranışa mı güveniyorsunuz?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar