Mit der Islamischen Republik verbundene Hacker griffen Regimegegner über US-Server an

Die Hackergruppe „Infy“, die mit der Islamischen Republik verbunden ist und auch als „Prince of Persia“ bekannt ist, hat in diesem Jahr einen Command-and-Control-Server auf US-Boden genutzt, um iranische Regimegegner auszuspionieren. Tomer Bar, Forscher beim Cybersicherheitsunternehmen SafeBreach, sagt, es handle sich um die erste Infrastruktur der Gruppe in den USA seit 2016; sie wurde im iranischen Monat Mordad (Juli/August) entdeckt.

Nach Angaben des Forschers sind die Hauptziele der Gruppe iranische Gegner der Islamischen Republik; daneben wurden auch Regierungsstellen und private Unternehmen in den USA, Europa und dem Nahen Osten ins Visier genommen. Tomer Bar sagte, die USA seien der letzte Ort gewesen, an dem man die Gruppe erwartet habe.

Pause und Rückkehr nach Kriegsbeginn

Nach den Erkenntnissen von SafeBreach stellte die Gruppe ihre Aktivitäten nach Beginn des Krieges der USA und Israels gegen die Islamische Republik am 28. Februar 2026 für rund drei Monate ein und kehrte am 27. Mai 2026 mit neuer Infrastruktur zurück. Diesmal nutzte sie statt dedizierter virtueller Server Shared Hosting in den USA, um sich zwischen gewöhnlichen Websites zu verstecken, und verlegte anschließend einen Teil ihrer Infrastruktur hinter die Dienste von Cloudflare. Nur eine Woche nach der Rückkehr zog eines der Schadprogramme der Gruppe mehr als 1.800 Dateien vom Computer eines Opfers ab.

Der im Mordad entdeckte Server steht in Verbindung mit einer neuen Schadsoftware namens „Tornado“, einer neuen Version der Schadsoftware-Familie „Tonnerre“, die gestohlene Dateien über Telegram-Kanäle an ihre Betreiber übermitteln kann.

Die Vorgeschichte von Infy

Infy ist seit fast zwei Jahrzehnten aktiv und gilt als eine der ältesten mit der Islamischen Republik verbundenen Gruppen für Cyberspionage. Forscher hatten bereits berichtet, dass die Gruppe am 8. Januar 2026, zeitgleich mit der landesweiten Internetsperre in Iran während des Dey-Aufstands, die Wartung ihrer Server einstellte und zwei Tage vor der Wiederherstellung des Internets neue Domains registrierte. Auch das Threat-Intelligence-Unternehmen KELA berichtete, dass außerhalb Irans die USA das Hauptziel der aktiven Infrastruktur der Gruppe gewesen seien.

Cyberspionage ist Teil der grenzüberschreitenden Repression der Islamischen Republik, die von Drohungen gegen und Verfolgung von Journalisten unabhängiger persischsprachiger Medien bis zum Druck auf die Familien von Aktivisten im Ausland reicht.

Die Islamische Republik hat sogar Server auf US-Boden genutzt, um ihre Gegner auszuspionieren.