Tomer Bar, vicepresidente asociado de Investigación de Seguridad de Semperis, la empresa de ciberresiliencia y respuesta ante crisis impulsada por la identidad, ha descubierto que el grupo de ciberamenazas Prince of Persia, vinculado al Estado iraní, operó a principios de este año un servidor demando y control (C2) en territorio estadounidense por primera vez en, al menos, diez años. El grupo lleva activo cerca de dos décadas y dirige sus ataques, principalmente, contra disidentes iraníes, así como contra organizaciones de los sectores público y privado de EEUU Europa y Oriente Medio.
El regreso de Prince of Persia a servidores ubicados en territorio estadounidense resulta significativo, ya que hasta ahora el grupo había recurrido a servicios de alojamiento en Europa y a servidores privados virtuales (VPS). El nuevo servidor de mando y control (C2) fue descubierto en agosto de 2026. El grupo había dejado de mostrar actividad tras el inicio de la guerra entre Irán y EEUU e Israel tras los ataques de éstos el 28 de febrero.
Posteriormente, el grupo pasó a utilizar servicios de alojamiento compartido, modificó su panel de administración remota y comenzó a construir una nueva infraestructura detrás de Cloudflare. De este modo, consiguió camuflar sus operaciones entre sitios web legítimos y recursos deinfraestructura utilizados por otros actores de amenazas. Para mantener una infraestructurade mando y control resistente y difícil de desmantelar, el grupo utiliza canales de la API deTelegram, algoritmos de generación de dominios y técnicas de exfiltración de datos basadas en blockchain.
“Prince of Persia dejó de mostrar actividad en febrero de 2026, al inicio del conflicto con EEUU e Israel. Esto no es inusual, ya que los conflictos geopolíticos en los que está implicado Irán suelen provocar interrupciones en la actividad de este grupo de ciberamenazas. Sin embargo, lo que me sorprendió esta vez fue que el grupo decidiera alojar su nuevo servidor de mando y control (C2) en territorio estadounidense por primera vez en diez años, coincidiendo con el inicio del conflicto. Era el último lugar donde esperábamos encontrar a Prince of Persia ocultando sus operaciones”, señala Bar.
Recomendaciones para los equipos de ciberseguridad
Las organizaciones pueden adoptar las siguientes medidas para proteger sus sistemas frente a las técnicas utilizadas por Prince of Persia: