APT iranien Prince of Persia : C2 relocalisé aux États-Unis

Ce qui s'est passé

La société de cybersécurité Semperis a révélé cette semaine qu'un chercheur de son équipe avait identifié que le groupe de menace iranien Prince of Persia, également suivi sous le nom Infy, avait relocalisé l'un de ses serveurs de commande-et-contrôle sur un hébergement partagé américain chez Namecheap — une configuration que ce groupe n'avait pas adoptée depuis 2016. Cette révélation s'inscrit dans une période de réactivation particulièrement significative pour cet acteur étatique qui avait suspendu la totalité de ses opérations pendant trois mois en début d'année 2026.

Prince of Persia est l'un des groupes de cyberespionnage les plus anciens associés à Téhéran. Documenté pour la première fois par des chercheurs de Palo Alto Networks en 2016, ce collectif opère depuis bientôt deux décennies avec une continuité opérationnelle remarquable et une capacité d'adaptation constante. Ses cibles historiques comprennent des dissidents politiques iraniens en exil, des organisations de défense des droits humains, des think-tanks géopolitiques, des analystes diplomatiques, ainsi que des administrations publiques et des entreprises privées situées principalement en Amérique du Nord, en Europe de l'Ouest et dans plusieurs pays du Moyen-Orient, notamment Israël, les Émirats arabes unis et l'Arabie saoudite.

Le vecteur d'intrusion privilégié par Prince of Persia repose sur des campagnes de harponnage ciblé soigneusement construites, associées à des implants logiciels dont la famille phare est l'outil Tornado. Ce malware de type remote access tool se distingue par sa flexibilité en matière de communication : il prend en charge à la fois des canaux HTTPS classiques vers des domaines contrôlés par les attaquants et, plus subtile encore, l'API publique de la messagerie Telegram comme canal de commande-et-contrôle alternatif. Cette approche, connue sous le nom de "living off trusted services", rend le trafic malveillant indiscernable des communications légitimes au niveau des passerelles réseau conventionnelles.

Le tournant dans ce cycle d'activité remonte à février 2026, lorsque la société SafeBreach publie un rapport technique détaillé exposant l'infrastructure de commandement du groupe. La réaction de Prince of Persia est rapide et méthodique : dans la semaine suivant la publication, les opérateurs mettent hors ligne l'un de leurs serveurs C2 et procèdent au déplacement du reste de leur infrastructure vers de nouveaux hébergements. Ce comportement défensif, consistant à démanteler rapidement toute infrastructure exposée après une divulgation publique, est caractéristique des groupes APT avancés qui surveillent en continu les publications de la communauté threat intelligence.

Le groupe entre ensuite dans une période de silence opérationnel de trois mois consécutifs — la plus longue interruption jamais documentée dans son histoire quasi-vintenaire. Cette pause coïncide temporellement avec le déclenchement du conflit armé entre l'Iran, les États-Unis et Israël le 28 février 2026. La concordance suggère que les dirigeants de l'appareil iranien de cyberespionnage ont pris la décision de réduire leur empreinte numérique durant la phase la plus critique du conflit, vraisemblablement pour éviter des escalades supplémentaires ou de compromettre des opérations stratégiquement prioritaires.

La reprise des activités est confirmée le 27 mai 2026 avec le déploiement d'un nouveau serveur C2. Mais c'est la nature de l'hébergement choisi qui retient immédiatement l'attention des analystes threat intelligence : contrairement aux habitudes établies du groupe, qui favorisait jusqu'alors des serveurs privés virtuels dans des juridictions peu coopératives avec les demandes d'entraide judiciaire occidentales, ce nouveau serveur Tornado est hébergé en mode partagé chez Namecheap, sur un serveur physiquement situé en territoire américain.

Cette décision tactique présente plusieurs avantages pour les opérateurs. Sur le plan de la détection, une adresse IP appartenant à un fournisseur d'hébergement américain légitime, partagée avec des dizaines d'autres sites web innocents, génère moins d'alertes automatiques que des serveurs hébergés chez des fournisseurs connus pour abriter des infrastructures malveillantes. Sur le plan des contre-mesures, forcer le retrait d'un serveur hébergé sur le sol américain implique soit une coopération de Namecheap sur signalement d'abus, soit une procédure judiciaire formelle — deux voies plus lentes et incertaines que le simple blocage d'un serveur dans un pays sans traité d'extradition.

D'après les données recueillies par Semperis et corroborées par d'autres acteurs de la threat intelligence, la reprise des opérations en mai 2026 s'est accompagnée d'une reprise immédiate du vol de données ciblant les profils habituels du groupe. Les flux d'exfiltration transitent via Tornado en utilisant alternativement HTTPS direct et le canal Telegram selon les environnements réseau des victimes, avec une préférence pour Telegram dans les environnements disposant d'une inspection SSL stricte sur les connexions vers des domaines inconnus.

Pourquoi c'est important

Le retour de Prince of Persia après sa plus longue pause opérationnelle documentée, combiné à l'adoption d'une infrastructure hébergée sur le sol américain, confirme l'efficacité des divulgations publiques comme mécanisme de pression sur les groupes APT. Le rapport de SafeBreach en février 2026 a directement contraint Prince of Persia à suspendre ses opérations et à renouveler intégralement son infrastructure. Cette mécanique de pression par la transparence reste l'un des outils les plus accessibles dont disposent les chercheurs pour perturber les acteurs étatiques sans recours aux voies diplomatiques ou aux opérations offensives.

Le choix d'un hébergement partagé américain illustre une tendance plus large dans les tactiques d'évasion des groupes APT : l'abus systématique de l'infrastructure cloud et d'hébergement légitimes pour dissimuler les serveurs C2. Cette technique, abondamment documentée chez des acteurs russes comme APT29 via OneDrive ou chez des groupes chinois via GitHub, est désormais pleinement intégrée à l'arsenal iranien. Elle impose aux équipes de défense de migrer vers des approches comportementales et analytiques plutôt que de se fier à des listes noires statiques d'adresses IP ou de domaines.

L'abus de l'API Telegram comme canal de commande-et-contrôle représente un défi opérationnel croissant pour les équipes sécurité. Dans de nombreux environnements d'entreprise, les communications vers les serveurs Telegram sont soit explicitement autorisées, soit non inspectées au niveau SSL, créant un angle mort opérationnel persistant. La mise en place d'un déchiffrement TLS sur le proxy sortant, combinée à une analyse comportementale des flux réseau pour détecter les patterns périodiques caractéristiques des balises C2, est désormais indispensable pour les organisations opérant dans des secteurs sensibles aux intérêts iraniens.

Sur le plan géopolitique, la reprise rapide des opérations d'espionnage dès la stabilisation du front en mai 2026 confirme que le cyberespionnage constitue un instrument permanent de la politique étrangère iranienne, maintenu même dans les périodes de tension militaire extrême. Les organisations travaillant sur des sujets sensibles pour Téhéran — droits humains, opposition politique, géopolitique du Golfe, nucléaire iranien — ne peuvent pas relâcher leur vigilance en se fondant sur l'état des relations diplomatiques ou militaires du moment.

Ce qu'il faut retenir

• Prince of Persia (Infy) a repris ses opérations en mai 2026 après 3 mois de silence et héberge son C2 Tornado sur Namecheap US, première occurrence depuis 2016, selon Semperis.
• Tornado utilise HTTPS et l'API Telegram comme canaux C2 couverts, rendant sa détection difficile dans les environnements qui n'inspectent pas les flux sortants vers les services grand public.
• Dissidents iraniens, ONG de droits humains, think-tanks géopolitiques et administrations en Amérique du Nord et en Europe restent les cibles prioritaires de ce groupe actif depuis deux décennies.