Des pirates liés à la République islamique ont ciblé des opposants depuis un serveur américain

Le groupe de pirates informatiques « Infy », lié à la République islamique et également connu sous le nom de « Prince of Persia », a utilisé cette année un serveur de commande et de contrôle sur le sol américain pour espionner des opposants iraniens. Tomer Bar, chercheur de la société de cybersécurité SafeBreach, affirme qu'il s'agit de la première infrastructure du groupe aux États-Unis depuis 2016 ; elle a été identifiée au cours du mois iranien de mordad (juillet-août).

Selon le chercheur, les principales cibles du groupe sont les opposants iraniens à la République islamique ; des organismes gouvernementaux et des entreprises privées aux États-Unis, en Europe et au Moyen-Orient ont également été visés. Tomer Bar a déclaré que les États-Unis étaient le dernier endroit où ils s'attendaient à trouver ce groupe.

Pause et retour après le début de la guerre

Selon les conclusions de SafeBreach, le groupe a interrompu ses activités pendant environ trois mois après le début de la guerre des États-Unis et d'Israël contre la République islamique, le 28 février 2026, puis est revenu avec une nouvelle infrastructure le 27 mai 2026. Cette fois, au lieu de serveurs virtuels dédiés, il a utilisé un hébergement mutualisé aux États-Unis pour se fondre parmi des sites web ordinaires, avant de placer une partie de son infrastructure derrière les services de Cloudflare. Une semaine à peine après son retour, l'un de ses logiciels malveillants a extrait plus de 1 800 fichiers de l'ordinateur d'une victime.

Le serveur identifié en mordad est lié à un nouveau logiciel malveillant baptisé « Tornado », nouvelle version de la famille « Tonnerre », capable de transmettre les fichiers volés à ses opérateurs via des canaux Telegram.

Les antécédents d'Infy

Infy est actif depuis près de deux décennies et passe pour l'un des plus anciens groupes de cyberespionnage liés à la République islamique. Des chercheurs avaient déjà signalé que le 8 janvier 2026, au moment de la coupure d'internet à l'échelle nationale en Iran pendant le soulèvement de dey, le groupe avait cessé d'entretenir ses serveurs et enregistré de nouveaux domaines deux jours avant le rétablissement d'internet. La société de renseignement sur les menaces KELA a également indiqué qu'en dehors de l'Iran, les États-Unis ont été la principale cible de l'infrastructure active du groupe.

Le cyberespionnage fait partie de la répression transnationale de la République islamique, qui va des menaces et de la traque visant les journalistes des médias indépendants persanophones aux pressions sur les familles des militants à l'étranger.

La République islamique est allée jusqu'à utiliser des serveurs sur le sol américain pour espionner ses opposants.