Tomer Bar, vicepresidente asociado de Investigación de Seguridad de Semperis, ha descubierto que el grupo de ciberamenazas Prince of Persia, vinculado al Estado iraní, operó a principios de este año un servidor de mando y control (C2) en territorio estadounidense por primera vez en, al menos, diez años.
El grupo lleva activo cerca de dos décadas y dirige sus ataques, principalmente, contra disidentes iraníes, así como contra organizaciones de los sectores público y privado de Estados Unidos, Europa y Oriente Medio.
El regreso de Prince of Persia a servidores ubicados en territorio estadounidense resulta significativo, ya que hasta ahora el grupo había recurrido a servicios de alojamiento en Europa y a servidores privados virtuales (VPS).
El nuevo servidor de mando y control (C2) fue descubierto en agosto de 2026. El grupo había dejado de mostrar actividad tras el inicio de la guerra entre Irán, Estados Unidos e Israel, el 28 de febrero. Posteriormente, el grupo pasó a utilizar servicios de alojamiento compartido, modificó su panel de administración remota y comenzó a construir una nueva infraestructura detrás de Cloudflare.
El grupo pasó a utilizar servicios de alojamiento compartido, modificó su panel de administración remota y comenzó a construir una nueva infraestructura detrás de Cloudflare
De este modo, consiguió camuflar sus operaciones entre sitios web legítimos y recursos de infraestructura utilizados por otros actores de amenazas. Para mantener una infraestructura de mando y control resistente y difícil de desmantelar, el grupo utiliza canales de la API de Telegram, algoritmos de generación de dominios y técnicas de exfiltración de datos basadas en blockchain.
“Prince of Persia dejó de mostrar actividad en febrero de 2026, al inicio del conflicto con Estados Unidos e Israel. Esto no es inusual, ya que los conflictos geopolíticos en los que está implicado Irán suelen provocar interrupciones en la actividad de este grupo de ciberamenazas”, ha afirmado Bar.
El directivo de Semperis explica que, sin embargo, “lo que me sorprendió esta vez fue que el grupo decidiera alojar su nuevo servidor de mando y control (C2) en territorio estadounidense por primera vez en diez años, coincidiendo con el inicio del conflicto; era el último lugar donde esperábamos encontrar a Prince of Persia ocultando sus operaciones”.
Recomendaciones para los equipos de ciberseguridad
Semperis indica que las organizaciones pueden adoptar las siguientes medidas para proteger sus sistemas frente a las técnicas utilizadas por Prince of Persia:
- Asegurarse de que los controles de seguridad estén actualizados para detectar y bloquear los indicadores de compromiso (IOC) identificados en la investigación.
- Supervisar el tráfico de Telegram para detectar actividad inusual.
- Mantener los sistemas operativos completamente actualizados.
