هکرهای Infy عملیات خود را با سرورهای C2 جدید پس از پایان قطعی اینترنت ایران از سر می‌گیرند

گروه تهدید ایرانی به نام Infy (معروف به شاهزاده پارس) تاکتیک‌های خود را تکامل داده است تا ردپای خود را پنهان کند. شرکت امنیت سایبری SafeBreach گزارش داد که این گروه فعالیت سرورهای فرمان و کنترل (C2) خود را در ۸ ژانویه ۲۰۲۶ متوقف کرد، همزمان با قطع گسترده اینترنت توسط رژیم ایران در پاسخ به اعتراضات اخیر. تامر بار، معاون تحقیقات امنیتی SafeBreach، اظهار داشت که این توقف احتمالاً نشان می‌دهد حتی واحدهای سایبری وابسته به دولت نیز توانایی یا انگیزه انجام فعالیت‌های مخرب در داخل ایران را نداشتند. فعالیت مجدد در ۲۶ ژانویه، یک روز قبل از کاهش محدودیت‌های اینترنتی، مشاهده شد که شواهد مستحکمی از حمایت دولتی ایران ارائه می‌دهد.

این گروه که از سال ۲۰۰۴ فعالیت می‌کند، نسخه‌های جدید بدافزارهای Foudre و Tonnerre را به‌کار گرفته و نسخه ۵۱ Tornado را معرفی کرده که از HTTP و تلگرام برای ارتباط C2 استفاده می‌کند. SafeBreach کشف کرد که Infy از آسیب‌پذیری‌های امنیتی WinRAR (CVE-2025-8088 یا CVE-2025-6218) برای نفوذ استفاده کرده و فایل‌های RAR مخرب از آلمان و هند به VirusTotal بارگذاری شده‌اند. تحلیل داده‌های استخراج‌شده از گروه تلگرام خصوصی این گروه، شامل ۱۱۸ فایل و ۱۴ لینک از فوریه ۲۰۲۵، همچنین ارتباط احتمالی با بدافزار ZZ Stealer و کمپین‌های هدف‌گیری مخزن PyPI را نشان داد.