Cinquantotto domini registrati, delegati ai nameserver del gruppo, ma senza un solo indirizzo IP associato. Invisibili a qualunque feed di reputazione, a qualunque sistema di blocklist automatica, a qualunque scansione passiva DNS che cerchi record A da correlare a infrastrutture malevole già note. È la “riserva” di comando e controllo pre-posizionata che i ricercatori di Whisper Security hanno mappato dietro Prince of Persia, il gruppo di cyberspionaggio iraniano meglio noto come Infy, attivo — con intermittenze significative — da oltre un decennio.

La frase che riassume meglio la scoperta è di Kaveh Azarhoosh, Community & Research Lead di Whisper, autore del report: “Sono in stand-by, non live: nel momento in cui uno qualunque di questi domini ottiene un record di indirizzo, un nuovo server di comando è appena entrato in funzione — ed è visibile prima ancora che il server faccia alcunché”. È una descrizione precisa di cosa significhi, oggi, difendersi da un attore state-sponsored che ha imparato a costruire infrastruttura offensiva in anticipo, tenendola dormiente fino al momento dell’attivazione operativa.

Chi è Prince of Persia / Infy

Infy (tracciato anche come Prince of Persia) è uno dei gruppi di cyberspionaggio iraniani più longevi e meno appariscenti sulla scena. A differenza di attori più aggressivi legati al Corpo delle guardie della rivoluzione islamica, Infy ha costruito la propria reputazione su campagne mirate e di lunga durata contro dissidenti, giornalisti e obiettivi ad alto valore, privilegiando la persistenza silenziosa alla distruzione visibile. È il profilo tipico dell’intelligence offensiva pura: raccolta di informazioni, non sabotaggio.

Il gruppo era rimasto sostanzialmente silente per anni prima di riemergere, a partire da dicembre 2025, in una serie di report firmati SafeBreach che ne hanno ricostruito una decade di attività. La prima parte della ricerca SafeBreach ha documentato l’infrastruttura storica basata su Domain Generation Algorithm (DGA) e server di comando dedicati; una seconda parte, pubblicata a febbraio 2026, ha rivelato la migrazione verso un tasking basato su Telegram, con i malware della famiglia Foudre/Tornado e Tonnerre capaci di ricevere comandi sia via HTTP sia tramite bot Telegram, garantendo ridondanza operativa anche in caso di takedown di uno dei due canali.

La prova del collegamento con Teheran: il blackout di gennaio

Uno degli elementi più interessanti dell’intera vicenda, emerso proprio nei report SafeBreach, è la correlazione temporale tra l’attività del gruppo e le decisioni delle autorità iraniane. L’8 gennaio 2026, per la prima volta da quando i ricercatori monitoravano l’infrastruttura, gli operatori di Infy hanno smesso di mantenere i propri server di comando — esattamente lo stesso giorno in cui il governo iraniano ha imposto un blackout internet a livello nazionale. Ancora più significativo: il 25-26 gennaio il gruppo ha ripreso a registrare nuovi domini DGA e a raccogliere dati esfiltrati, e il blackout è terminato ufficialmente il 27 gennaio. Un anticipo di un giorno che, secondo SafeBreach, è difficilmente spiegabile senza ammettere che gli operatori disponessero di informazioni privilegiate sulla tempistica di una decisione governativa — la firma indiretta ma solida di un legame con lo stato iraniano.

Cosa ha scoperto Whisper: l’architettura a due livelli

Partendo dagli indicatori pubblicati da SafeBreach, i ricercatori di Whisper hanno costruito un grafo dell’infrastruttura di rete per risalire, da un piccolo insieme di indicatori noti, all’intera architettura di backend del gruppo. Il risultato è la mappatura di un sistema a due livelli concettualmente elegante e operativamente resiliente.

Il primo livello è quello dei server di comando attivi, che sono self-authoritative: ogni server esegue il proprio nameserver, così che dominio, indirizzo IP e infrastruttura di risoluzione DNS coincidano sulla stessa macchina. Un esempio concreto individuato dai ricercatori è il dominio dmxqdlcuiryu.site, che risolve a 45.80.148.195 — lo stesso indirizzo su cui gira anche ns1.dmxqdlcuiryu.site, il nameserver che lo gestisce.

Il secondo livello, quello davvero nuovo rispetto ai report precedenti, è la riserva dormiente: domini già registrati e già delegati ai nameserver del gruppo, ma privi di un record A. In pratica, l’infrastruttura di risoluzione è pronta e configurata, ma il “puntatore” finale verso un server fisico non è stato ancora attivato. Finché resta così, il dominio non compare in nessuna telemetria passiva basata su risoluzioni effettive, ed è per questo che sfugge ai sistemi di detection tradizionali basati su reputazione storica.

• 51 domini nel formato principale: otto caratteri alfabetici (range j-z), es. dmxqdlcuiryu.site
• 7 domini in un formato esadecimale più vecchio, riconducibile a un pattern di generazione precedente
• TLD utilizzati: .site e .space (già noti), più due new entry rispetto ai report precedenti — .top e .website — che suggeriscono un ampliamento dello spazio del generatore di domini
• Registrar comune: Spaceship, con privacy affidata a Withheld for Privacy — una coerenza che secondo Whisper “si legge come un singolo operatore che registra in blocco”
• Hosting prevalente su HOSTGW (AS204641), un piccolo reseller rumeno, non confinato a un singolo blocco di indirizzi

A questo si aggiunge un server non presente nei report SafeBreach originari, 185.244.129.70, che al 13 agosto 2026 ospitava 18 domini generati dal DGA attivi contemporaneamente, e che presenta un’anomalia operativa interessante: si appoggia a un servizio DNS commerciale per almeno uno dei domini che ospita, invece di gestire in proprio la risoluzione come fa il resto dell’infrastruttura self-authoritative.

Segnali di crescita operativa

Tre elementi osservati durante il periodo di ricerca (dati infrastrutturali al 13 agosto, pubblicazione il 24 agosto 2026) indicano che l’infrastruttura non è statica ma in espansione attiva: il numero di domini live sul server 185.244.129.70 è salito da 17 a 18 nel corso dell’osservazione; la riserva dormiente è passata da 56 a 58 domini tra luglio e agosto; e la comparsa dei nuovi TLD .top e .website suggerisce che il generatore di domini del gruppo stia ampliando il proprio spazio dei nomi, verosimilmente in previsione di operazioni future.

Sul fronte del malware, l’arsenale documentato da SafeBreach e ripreso da Whisper comprende Tornado/Foudre come primo stadio di reconnaissance (con controlli anti-sandbox e comunicazione ridondante HTTP/Telegram), Tonnerre come infostealer di secondo stadio, e una catena ZZ Stealer che scarica una variante modificata di StormKitty — un infostealer open source rimaneggiato per esfiltrare screenshot, file del desktop e credenziali verso un canale Telegram dedicato. Le vittime mappate attraverso le esfiltrazioni intercettate nel periodo 2021-2024 coprono almeno 46 indirizzi IP distinti in una ventina di paesi, con concentrazioni significative negli Stati Uniti, in Russia e in Germania — a conferma di una targeting list ampia e non limitata alla sola diaspora iraniana o ai soli obiettivi mediorientali.

Due righe per i difensori

La lezione operativa più importante di questo report riguarda il timing della difesa. Un’infrastruttura DNS pre-registrata ma dormiente non genera traffico, non compare nelle liste di reputazione, non attiva alcun sistema di detection basato su comportamento di rete: è invisibile fino al momento esatto in cui viene attivata, e a quel punto il difensore parte già in ritardo. Il valore del lavoro di Whisper sta proprio nell’aver reso pubblica questa riserva prima che diventi operativa, trasformando 58 domini “innocui” in altrettanti indicatori di early warning.

Per i team di threat intelligence e i SOC che monitorano organizzazioni potenzialmente nel mirino di attori legati all’Iran — ONG, giornalisti, ricercatori, obiettivi diplomatici o aziende con esposizione mediorientale — il consiglio pratico è di integrare nei propri sistemi di monitoraggio DNS passivo non solo le blocklist di domini già noti come malevoli, ma anche il pattern di naming e la lista dei 58 domini di riserva pubblicata da Whisper, così da ricevere un alert nell’istante stesso in cui uno di essi acquisisce un record A — prima ancora che il server dietro di esso inizi a comunicare con un impianto.

Indicatori di compromissione

Gruppo: Prince of Persia / Infy (Iran, cyberspionaggio state-sponsored)
Ricerca: Whisper Security, "Prince of Persia: Mapping the Backend
  and a Reserve of Domains Staged for What Comes Next" (24 ago 2026)
Basata su: SafeBreach "Prince of Persia" Part I (dic 2025) e Part II (feb 2026)

Server C2 pubblicati (self-authoritative):
  45.80.148.195   (domini .site)
  45.80.149.3     (domini .space)
  185.244.129.70  (non riportato in precedenza; 18 domini DGA
                   attivi al 13/08/2026; usa DNS commerciale per
                   almeno un dominio, anomalia rispetto al resto)

Esempio dominio self-authoritative:
  dmxqdlcuiryu.site -> 45.80.148.195
  ns1.dmxqdlcuiryu.site -> 45.80.148.195

Riserva dormiente (nessun record A, delegati ai NS del gruppo):
  58 domini totali
  - 51 nel formato 8 caratteri alfabetici (range j-z)
  - 7 nel formato esadecimale legacy
  TLD: .site, .space, .top (nuovo), .website (nuovo)

Registrar: Spaceship (privacy: Withheld for Privacy)
Hosting: HOSTGW, AS204641 (reseller rumeno)

Malware associato: Tornado/Foudre (recon, HTTP+Telegram C2),
  Tonnerre (infostealer), ZZ Stealer -> StormKitty modificato
  (canale Telegram di esfiltrazione dedicato)

Hash noti (SHA-256):
  Tornado v51 SFX: 5db4ed7d07ab028ab6ceba8efec5f667d86a419020d2a8c86e90a3125aa31bb9
  ZZ Stealer 3.81: f9b963235b954c521096256a10d8e8dce0092c9ca054e78dce3cac63756d0976
  StormKitty var.: 4398063cd50c77b8d28f15c35b5948165b356f33dd7c4504eeac0c328fe97487

Raccomandazione: integrare la lista dei 58 domini di riserva nel
  monitoraggio DNS passivo per rilevare l'attivazione di un nuovo
  record A prima dell'inizio delle comunicazioni C2.