Prince of Persia-cyberspionage afslører langvarig iransk kampagne

Prince of Persia cyber espionage er igen dukket op som en af de mest vedvarende iransk-tilknyttede efterretningsoperationer, der er blevet afdækket i de seneste år. Ny forskning viser, at gruppen aldrig forsvandt. I stedet udvidede den stille sit værktøjssæt, forfinede sin infrastruktur og fortsatte med at målrette følsomme enheder verden over.

Sikkerhedsforskere vurderer nu, at operationen har været aktiv i næsten to årtier. Denne levetid viser, hvordan statsstøttede cyberenheder kan tilpasse sig, omprofilere sig og operere under tærsklen for offentlig opmærksomhed.

En kampagne, der aldrig helt stoppede

Analytikere sporer Prince of Persia-aktivitet tilbage til mindst 2007. Tidlige kampagner fokuserede på diplomatiske mål og udenrigspolitiske interesser i tråd med iranske efterretningsprioriteter.

Den offentlige rapportering aftog efter 2022. Ny analyse bekræfter dog, at gruppen fortsatte sit arbejde i det skjulte. I stedet for at lancere støjende kampagner prioriterede operatørerne diskretion, testmiljøer og modulære opgraderinger af deres malware.

Denne stille vedholdenhed gjorde det muligt for operationen at overleve ændringer i forsvarsteknologi og øget global opmærksomhed.

Skræddersyet malware og avancerede kontrolmetoder

Prince of Persia cyber espionage anvender flere specialudviklede malware-familier. Disse værktøjer understøtter langvarig adgang, overvågning og dataeksfiltrering.

Forskere har identificeret flere aktive malware-varianter:

Foudre, designet til vedvarende adgang og fjernkommandoeksekvering

Tonnerre, som indeholder robuste mekanismer til domænegenerering

Rugissement, et nyere værktøj knyttet til nylig testaktivitet

Nogle varianter undgår traditionelle kommandoservere helt. I stedet dirigeres kommunikationen via beskedtjenester som Telegram. Denne metode blander ondsindet trafik med normal brugeraktivitet og gør det vanskeligere at opdage.

Global rækkevidde og strategisk målretning

Historiske infektioner forbundet med Prince of Persia spænder over flere regioner. Berørte lande omfatter dele af Europa, Mellemøsten, Sydasien og Nordamerika.

Målene synes nøje udvalgt. Mange stemmer overens med geopolitiske interesser, udenrigspolitisk overvågning eller indenlandske efterretningsmål. Dette mønster understøtter vurderingen af, at gruppen opererer i overensstemmelse med iranske efterretningsinteresser.

I modsætning til kriminelle kampagner er der ingen tegn på brug af ransomware eller økonomisk afpresning. Spionage, overvågning og efterretningsindsamling er fortsat hovedfokus.

Hvorfor denne kampagne stadig er relevant

Prince of Persia cyber espionage viser, hvordan trusselsaktører kan forsvinde fra overskrifterne uden at forsvinde fra netværkene. Langvarige operationer drager fordel af tålmodighed, lav aktivitet og løbende teknisk forfinelse.

Brugen af alternative kontrolkanaler, modulær malware og testintensiv infrastruktur viser en moden og disciplineret tilgang. Disse egenskaber gør opdagelse vanskeligere og reaktionstiden længere.

For forsvarere understreger kampagnen behovet for adfærdsbaseret detektion og langsigtet trusselsmonitorering.

Konklusion

Prince of Persia cyber espionage er en tydelig påmindelse om, at stilhed ikke er lig med inaktivitet. Iransk-tilknyttede aktører har holdt denne kampagne i live i årevis ved at undgå eksponering og udvikle sig i det skjulte. Efterhånden som forskningen fortsætter, bør forsvarere antage, at lignende grupper fortsat er aktive i dag, lige under overfladen.