Prince of Persia mantuvo un servidor en Estados Unidos durante meses y casi nadie lo notó fuera de un círculo pequeño de investigadores. Semperis, empresa de resiliencia de identidad con sede en Hoboken, Nueva Jersey, anunció este 22 de octubre que su equipo localizó en agosto ese servidor de comando y control, la pieza que da órdenes al programa maligno. Para un grupo iraní de ciberespionaje vigilado desde hace una década, esconderse en el país que lo persigue suena a temeridad. Funcionó durante meses.
El hallazgo devuelve a Prince of Persia a un mapa que ya pisó una vez. Tomer Bar, vicepresidente adjunto de investigación de seguridad en Semperis, lo sigue desde hace 10 años y ya había descubierto en 2016 un servidor en Estados Unidos ligado a la misma red de espionaje. Entre una fecha y otra, el grupo operó desde alojamientos europeos y servidores privados virtuales, una rutina que rompió este año al mudarse a un alojamiento compartido estadounidense.
Escondido entre páginas inocentes
Cambiar de casa trae una ventaja práctica para el atacante. Un servidor privado virtual dedicado deja una huella clara: una dirección, un cliente, un responsable fácil de señalar. En un alojamiento compartido, el servidor de Prince of Persia convive con páginas inocentes y, dato incómodo, con infraestructura de otros actores maliciosos. Bloquear una dirección en ese entorno puede tumbar negocios ajenos al espionaje.
Semperis informó que el grupo levantó la nueva infraestructura detrás de Cloudflare, cambió su panel de gestión remota y repartió el control entre canales de la API de Telegram, algoritmos de generación de dominios y rutas de salida apoyadas en cadena de bloques. Cada pieza sustituye a la anterior cuando un defensor la corta. Esa redundancia explica parte de su longevidad: el grupo opera desde cerca de 2010 y su actividad salió a la luz pública por primera vez en 2016.
Bar lo dijo con una frase que revela la sorpresa de su equipo: era el último lugar donde esperaban encontrar escondido a Prince of Persia. El grupo se había apagado en febrero de 2026, al inicio de la guerra entre Irán, Estados Unidos e Israel. Cuando arranca un conflicto abierto, esta red suele quedarse quieta. Esta vez el silencio duró tres meses, la pausa más larga en casi dos décadas de actividad registrada.
Tres programas que se pasan la víctima
El arsenal tiene tres escalones con nombre de clima en francés. Foudre, relámpago, abre la puerta: perfila la máquina infectada, registra pulsaciones de teclado, roba credenciales guardadas en el navegador y decide si la víctima merece un paso más. Su trabajo es de portero, no de ladrón principal.
Tras el regreso de mayo de 2026, Semperis contó en una víctima vigilada más de 1.800 archivos salientes solo en la primera semana de observación. Si el perfil interesa, entra Tonnerre, trueno. Esa segunda pieza trae vigilancia completa: captura audio del micrófono, toma capturas de pantalla y extrae documentos con paciencia, archivo por archivo.
Tornado, la pieza más nueva, aprende de las dos anteriores y suma trucos de sigilo. Usa conexiones seguras HTTPS y la API de Telegram como canal encubierto de control, mezclado con tráfico normal para pasar frente a los cortafuegos. Sus dominios rotan con un algoritmo que genera direcciones nuevas, y una ruta apoyada en cadena de bloques le permite cambiar de servidor sin tocar el código instalado en la víctima. Una firma RSA confirma cada orden entrante y deja fuera a los investigadores que intenten desviar ese tráfico.
Las víctimas recientes son, sobre todo, disidentes iraníes. El historial del grupo alcanza también a organizaciones públicas y privadas de Estados Unidos, Europa y Oriente Medio, con campañas ligadas a elecciones iraníes y a medios en lengua persa. Es una operación de pocas víctimas y mucha insistencia: espionaje paciente, sin prisa y sin interés comercial conocido.
El rastro de Telegram que un defensor sí puede vigilar
Semperis dejó tres tareas concretas para los equipos de defensa. La primera: actualizar los controles de seguridad con los indicadores de compromiso publicados en su investigación completa, con dominios y direcciones observadas este año. La segunda: vigilar tráfico inusual hacia Telegram en redes corporativas, un canal normal en una computadora personal y una señal rara en un servidor que nadie usa para conversar. La tercera: mantener los sistemas operativos al día, porque Tornado entra también por fallos de un día en programas populares, entre ellos vulnerabilidades de WinRAR corregidas por su fabricante.
Para una empresa mediana en América Latina, la lección queda lejos de Irán y cerca de su propia red. El espionaje estatal ya no necesita servidores exóticos en países remotos: le basta una cuenta de alojamiento compartido en Estados Unidos, un canal de Telegram y dominios que cambian solos. Revisar qué aplicaciones de mensajería puede tocar cada servidor interno cuesta una tarde. Esperar a que un proveedor avise del problema, meses.
El conteo de víctimas sigue bajo, y Semperis lo presenta como señal de ataques muy dirigidos, no de una campaña masiva contra el público general. Bar lleva 10 años siguiendo a este grupo y ya suma dos hallazgos de un servidor en Estados Unidos de esta red, en 2016 y en 2026. La investigación completa, con la lista de indicadores para bloquear la infraestructura activa de Prince of Persia, quedó publicada en el blog de Semperis el mismo 22 de octubre.
Fuente: Semperis
Foto: Semperis
Descubre más desde Tecnología Geek
Suscríbete y recibe las últimas entradas en tu correo electrónico.
