Hackers gelieerd aan de Islamitische Republiek vielen tegenstanders aan via Amerikaanse server

De hackersgroep "Infy", die gelieerd is aan de Islamitische Republiek en ook bekendstaat als "Prince of Persia", heeft dit jaar een command-and-controlserver op Amerikaans grondgebied gebruikt om Iraanse tegenstanders te bespioneren. Tomer Bar, onderzoeker bij het cyberbeveiligingsbedrijf SafeBreach, zegt dat dit de eerste infrastructuur van de groep in de Verenigde Staten is sinds 2016; ze werd ontdekt in de Iraanse maand mordad (juli-augustus).

Volgens de onderzoeker zijn de belangrijkste doelwitten van de groep Iraanse tegenstanders van de Islamitische Republiek; daarnaast werden ook overheidsinstanties en particuliere bedrijven in de Verenigde Staten, Europa en het Midden-Oosten aangevallen. Tomer Bar zei dat de Verenigde Staten de laatste plek waren waar ze de groep hadden verwacht.

Stilte en terugkeer na het begin van de oorlog

Volgens de bevindingen van SafeBreach legde de groep haar activiteiten ongeveer drie maanden stil nadat de oorlog van de Verenigde Staten en Israël met de Islamitische Republiek op 28 februari 2026 was begonnen, en keerde zij op 27 mei 2026 terug met nieuwe infrastructuur. Deze keer gebruikte zij in plaats van eigen virtuele servers gedeelde hosting in de Verenigde Staten om zich tussen gewone websites te verbergen, en verplaatste zij daarna een deel van haar infrastructuur achter de diensten van Cloudflare. Slechts een week na de terugkeer haalde een van de malwaretools van de groep meer dan 1.800 bestanden van de computer van een slachtoffer.

De in mordad ontdekte server houdt verband met nieuwe malware genaamd "Tornado", een nieuwe versie van de malwarefamilie "Tonnerre", die gestolen bestanden via Telegramkanalen aan haar beheerders kan doorsturen.

De voorgeschiedenis van Infy

Infy is al bijna twintig jaar actief en geldt als een van de oudste cyberspionagegroepen die aan de Islamitische Republiek gelieerd zijn. Onderzoekers hadden eerder gemeld dat de groep op 8 januari 2026, gelijktijdig met de landelijke internetblokkade in Iran tijdens de dey-opstand, stopte met het onderhoud van haar servers en twee dagen voor het herstel van internet nieuwe domeinen registreerde. Het dreigingsinformatiebedrijf KELA meldde ook dat buiten Iran de Verenigde Staten het belangrijkste doelwit van de actieve infrastructuur van de groep zijn geweest.

Cyberspionage maakt deel uit van de grensoverschrijdende repressie van de Islamitische Republiek, die loopt van het bedreigen en achtervolgen van journalisten van onafhankelijke Perzischtalige media tot druk op de families van activisten in het buitenland.

De Islamitische Republiek heeft zelfs servers op Amerikaanse bodem gebruikt om haar tegenstanders te bespioneren.