Ce choix d’héberger à nouveau son infrastructure aux États-Unis marque un changement pour Prince of Persia, qui s’appuyait auparavant sur des hébergements européens et des serveurs privés virtuels (VPS). Le nouveau serveur C2 a été découvert en août 2026. Le groupe avait cessé toute activité visible après le début de la guerre entre l’Iran, les États-Unis et Israël, le 28 février. Il est passé à un hébergement mutualisé, a changé son interface d’administration à distance et a commencé à mettre en place une nouvelle infrastructure derrière Cloudflare. Il dissimule ainsi ses opérations parmi des sites web légitimes et des infrastructures utilisées par d’autres acteurs malveillants. Le groupe utilise des canaux Telegram via l’API, des algorithmes de génération de noms de domaine (DGA) et des mécanismes d’exfiltration reposant sur la blockchain pour maintenir une infrastructure C2 résiliente.
« Prince of Persia a cessé toute activité visible en février 2026, au début du conflit avec les États-Unis et Israël. Ce n’est pas inhabituel : les conflits géopolitiques impliquant l’Iran entraînent des interruptions d’activité chez ce groupe. Ce qui m’a surpris cette fois, en revanche, c’est sa décision d’héberger le nouveau serveur C2 sur le sol américain pour la première fois en 10 ans, au moment même où débutait le conflit avec les États-Unis et Israël », déclare Tomer Bar. « C’est le dernier endroit où nous nous attendions à trouver Prince of Persia. »
Recommandations aux équipes de sécurité
Les organisations peuvent prendre les mesures suivantes pour protéger leur environnement face à des techniques similaires à celles utilisées par Prince of Persia :
• Veiller à ce que les dispositifs de sécurité soient à jour afin de détecter et de bloquer les menaces correspondant aux indicateurs de compromission (IOC) fournis dans les travaux de recherche.
• Surveiller tout trafic Telegram inhabituel.
• Veiller à ce que les systèmes d’exploitation disposent de toutes les mises à jour.
L’intégralité des travaux de recherche et les IOC associés sont disponibles à l’adresse suivante : https://www.semperis.com/blog/prince-of-persia-threat-group-hiding-in-plain-sight/
À propos de Semperis :
Semperis est un acteur de référence de la cyber-résilience et de la gestion de crise centrées sur l’identité, au service des plus grandes entreprises et agences gouvernementales à travers le monde. Conçue pour les environnements hybrides et multi-cloud, notamment Active Directory, Entra ID, Okta et Ping Identity, la plateforme Semperis aide les organisations à prévenir, détecter, répondre et se remettre des cyberattaques ciblant les identités.
Les cyberattaques modernes se jouent désormais au niveau de l’identité, où les défaillances peuvent rapidement se transformer en crises majeures pour l’entreprise. La plateforme Semperis, enrichie par l’IA, unifie la défense du cycle de vie des identités et la gestion de crise : renforcement des infrastructures d’identité, détection et confinement des menaces actives, reprise rapide et fiable, et coordination sécurisée hors bande lorsque les systèmes critiques sont indisponibles, le tout soutenu par une équipe experte en forensic et réponse à incident.
Dans le cadre de sa mission, Semperis propose de nombreuses ressources à la cybercommunauté dont la conférence primée sur la protection de l’identité hybride HIP, https://www.hipconf.com/ le Podcast HIP https://www.hipconf.com/podcasts/ , ainsi que les outils gratuits de protection des identités Purple Knight https://www.semperis.com/purple-knight/ et Forest Druid
https://www.semperis.com/forest-druid/
. Plus de 1 200 organisations, dont plus de 25 % des 100 plus grandes entreprises américaines, font confiance à Semperis.
Entreprise privée, Semperis est basée à Hoboken (New Jersey) et accompagne des clients à l’échelle internationale, dans plus de 40 pays.
En savoir plus : https://www.semperis.com/fr/
Suivre Semperis : Blog / LinkedIn / X / Facebook / YouTube
