Nhóm APT "Prince of Persia" của Iran lần đầu đặt máy chủ C&C tại Mỹ từ năm 2016

Nhóm tin tặc Prince of Persia do chính phủ Iran hậu thuẫn đã vận hành một máy chủ điều khiển và kiểm soát (C&C) ngay trên lãnh thổ Mỹ trong năm nay, sau nhiều tháng im hơi lặng tiếng. Đây là lần đầu tiên kể từ năm 2016 nhóm này đặt máy chủ chỉ huy tại Mỹ, theo công bố của hãng bảo mật Semperis.

Minh họa về các cuộc tấn công mạng liên quan đến Iran

Gần hai thập kỷ hoạt động và ba tháng im lặng bất thường

Prince of Persia, còn được theo dõi với tên gọi Infy, đã hoạt động gần 20 năm. Mục tiêu của nhóm chủ yếu là những người bất đồng chính kiến Iran, cùng các cơ quan nhà nước và doanh nghiệp tư nhân tại Mỹ, châu Âu và Trung Đông.

Ông Tomer Bar, Phó chủ tịch phụ trách nghiên cứu bảo mật tại Semperis, đã theo dõi nhóm này từ thời còn làm việc tại SafeBreach. Theo ông, chỉ trong vòng một tuần sau báo cáo của SafeBreach hồi tháng 2/2026, tin tặc đã đưa một máy chủ C&C ngừng hoạt động và sau đó di dời toàn bộ số máy chủ còn lại.

Prince of Persia sau đó dừng hoạt động suốt ba tháng — khoảng lặng dài nhất trong gần hai thập kỷ tồn tại của nhóm. Giai đoạn này trùng với cuộc chiến giữa Iran với Mỹ và Israel bùng nổ ngày 28/2.

Semperis khẳng định đây là quãng thời gian ngừng hoạt động dài nhất mà hãng xác nhận được, bởi các nhà nghiên cứu đã theo dõi hạ tầng của nhóm xuyên suốt. Những giai đoạn im ắng trước đây thực chất phản ánh việc nhà nghiên cứu mất khả năng quan sát, chứ không phải nhóm đã thực sự dừng lại.

Hoạt động trở lại với máy chủ mới và chiến dịch đánh cắp dữ liệu

Đến ngày 27/5, Prince of Persia khởi động lại chiến dịch bằng một máy chủ C&C mới, kéo theo hoạt động đánh cắp dữ liệu. Chỉ trong bảy ngày, Tonnerre — một trong các dòng mã độc của nhóm — đã lấy đi hơn 1.800 tệp từ một nạn nhân duy nhất.

Ông Bar cho biết số lượng nạn nhân vẫn còn ít, có thể là dấu hiệu nhóm đang tiến hành tấn công có chủ đích hoặc đang gặp khó khăn trong việc xâm nhập các hệ thống mới.

Đến tháng 8, ông Bar phát hiện một máy chủ mới, nhiều khả năng được dựng ngày 7/7, phục vụ giai đoạn hai của Tornado — dòng mã độc mới nhất của nhóm, có khả năng đánh cắp tệp thông qua bot Telegram. Điều đáng chú ý là máy chủ này đặt tại Mỹ.

"Việc các nhóm tấn công do nhà nước hậu thuẫn ẩn giấu máy chủ C2 trong lãnh thổ Mỹ bằng hạ tầng đám mây và nhà cung cấp dịch vụ lưu trữ web không phải chuyện hiếm. Nhưng với nhóm tin tặc này thì đó là hành vi bất thường", ông Bar nhận định.

Đổi nhà cung cấp, lẩn sau Namecheap và Cloudflare

Ở lần triển khai này, tin tặc đã đổi nhà cung cấp dịch vụ và từ bỏ máy chủ riêng ảo (VPS) để chuyển sang dịch vụ lưu trữ chia sẻ của Namecheap — nơi tập trung hàng nghìn tên miền, gồm cả các trang hợp pháp lẫn một số do nhóm tấn công khác vận hành.

Ảnh chân dung tác giả bài viết Eduard Kovacs

"Đây là nơi cuối cùng chúng tôi nghĩ có thể tìm thấy Prince of Persia đang ẩn náu", ông Bar nói.

Ngày 24/8, nhóm bắt đầu thiết lập thêm một máy chủ giai đoạn hai của Tornado ẩn sau Cloudflare. Semperis nghi ngờ tin tặc đã nhận ra máy chủ đặt tại Mỹ của chúng bị lộ.

Semperis đã công bố các chỉ dấu xâm nhập (IoCs) liên quan đến hạ tầng của Prince of Persia và khuyến nghị các tổ chức bổ sung chúng vào công cụ bảo mật, đồng thời cảnh giác với lưu lượng Telegram đáng ngờ.

Ý nghĩa với doanh nghiệp Việt Nam

Việc nhóm APT lợi dụng dịch vụ lưu trữ chia sẻ phổ biến và mạng CDN lớn để che giấu hạ tầng là lời nhắc nhở với các tổ chức tại Việt Nam: không nên chỉ tin tưởng vào danh tiếng của nhà cung cấp hạ tầng.

• Cần giám sát lưu lượng mạng bất thường đến các dịch vụ phổ biến như Telegram, vốn thường bị mã độc dùng làm kênh liên lạc.
• Áp dụng các chỉ dấu IoCs vào hệ thống phát hiện xâm nhập (IDS/IPS) và SIEM.
• Rà soát lại mô hình phân quyền và sao lưu dữ liệu, vì các nhóm APT hậu thuẫn nhà nước thường nhắm vào dữ liệu nhạy cảm với mục tiêu gián điệp.

Logo SecurityWeek