Hacker legati alla Repubblica islamica hanno colpito gli oppositori da un server negli Usa

Il gruppo di hacker "Infy", legato alla Repubblica islamica e noto anche come "Prince of Persia", ha usato quest'anno un server di comando e controllo sul territorio statunitense per spiare gli oppositori iraniani. Tomer Bar, ricercatore della società di sicurezza informatica SafeBreach, afferma che si tratta della prima infrastruttura del gruppo negli Stati Uniti dal 2016, individuata nel mese iraniano di mordad (luglio-agosto).

Secondo il ricercatore, i principali bersagli del gruppo sono gli oppositori iraniani della Repubblica islamica; sono stati presi di mira anche enti governativi e aziende private negli Stati Uniti, in Europa e in Medio Oriente. Tomer Bar ha detto che gli Stati Uniti erano l'ultimo posto in cui si aspettavano di trovare il gruppo.

Lo stop e il ritorno dopo l'inizio della guerra

Secondo i risultati di SafeBreach, il gruppo ha sospeso la propria attività per circa tre mesi dopo l'inizio della guerra di Stati Uniti e Israele contro la Repubblica islamica il 28 febbraio 2026, ed è tornato con una nuova infrastruttura il 27 maggio 2026. Questa volta, invece di server virtuali dedicati, ha usato hosting condiviso negli Stati Uniti per nascondersi tra siti web comuni, spostando poi parte della sua infrastruttura dietro i servizi di Cloudflare. Appena una settimana dopo il ritorno, uno degli strumenti malware del gruppo ha estratto più di 1.800 file dal computer di una vittima.

Il server individuato in mordad è collegato a un nuovo malware chiamato "Tornado", nuova versione della famiglia di malware "Tonnerre", in grado di consegnare i file rubati ai suoi operatori tramite canali Telegram.

I precedenti di Infy

Infy è attivo da quasi vent'anni ed è considerato uno dei più antichi gruppi di cyberspionaggio legati alla Repubblica islamica. I ricercatori avevano già riferito che l'8 gennaio 2026, in concomitanza con il blackout nazionale di internet in Iran durante la rivolta di dey, il gruppo aveva smesso di gestire i propri server e registrato nuovi domini due giorni prima del ripristino di internet. Anche la società di threat intelligence KELA ha riferito che, al di fuori dell'Iran, gli Stati Uniti sono stati il principale bersaglio dell'infrastruttura attiva del gruppo.

Lo spionaggio informatico fa parte della repressione transnazionale della Repubblica islamica, che va dalle minacce e dagli inseguimenti ai giornalisti dei media indipendenti in lingua persiana fino alle pressioni sulle famiglie degli attivisti all'estero.

La Repubblica islamica è arrivata a usare server sul suolo americano per spiare i suoi oppositori.