イランのスパイ集団「Prince of Persia」、未使用の待機ドメイン58件を確認 — WhisperがC2基盤を解析

インフラ脅威インテリジェンス企業のWhisper Securityは2026年8月、イランのスパイ集団Prince of Persia（別名Infy）の指令（C2）基盤を解析した報告を公開した。調査を主導した同社のKaveh Azarhoosh氏によると、攻撃者が自前のDNSに登録しながらまだどこも指していない待機ドメイン58件を特定したほか、既知の脅威情報に載っていない稼働中の指令サーバも見つけた。同社は、待機ドメインにアドレスが付いた瞬間が新たな指令サーバの稼働合図であり、防御者が先回りして監視できる対象だと指摘している。

Prince of Persiaとは — 反体制派を狙う10年超のスパイ集団

Prince of Persiaは10年以上活動を続けるイランのスパイ集団で、最初に発覚のきっかけとなったマルウェアにちなみInfyとも呼ばれる。Palo Alto NetworksのUnit 42は2016年に詳細な記録を残し、2007年ごろにさかのぼる攻撃がイランの反体制派、ジャーナリスト、野党関係者を中心に、政府や通信事業者にも及んでいたと説明している。

近年の攻撃道具は、フランス語で「稲妻」を意味するFoudreと「雷」を意味するTonnerreという2種のマルウェアが中心だ。Foudreが侵入先の情報を収集して送り返す一段階目の埋め込み型プログラムとして働き、攻撃者が手間をかける価値があると判断した標的にだけTonnerreが届けられる仕組みとされる。SafeBreachは2019年からこの集団を追跡し、2025年12月と2026年2月には静寂期明けの復活、指令サーバ、ドメイン生成アルゴリズム（DGA）、指令伝達へのTelegramの利用を掘り下げた報告を2本公開している。Whisperの今回の調査は、このSafeBreachの報告を出発点にしている。

既知の報告を拡張 — ルーマニア系ホスティングと無名の稼働サーバ

WhisperはSafeBreachが公開した指令サーバのIPアドレスを、大規模なインターネット基盤グラフで外向きにたどった。アドレスが属する区画、区画を広報するネットワーク、そこに名前解決されるドメインへと広げると、集団のサーバは報告にあった単一の区画ではなく、**ルーマニアの小規模な再販ホスティング事業者（AS204641、HOSTGW）**の複数の区画に分散している姿が見えたという。

その中で特筆すべき1台が185.244.129.70だ。集団のDGAドメインを運びながら、SafeBreachの2本の報告のどちらにも出てこない区画にあり、Whisperが照合した脅威インテリジェンスにも一切載っていない。評価に基づく防御をすり抜ける稼働中の指令サーバであり、公開リストの外側を広げた意義を示す発見だと同社は位置付けている。調査開始時にこのサーバが応答していたドメインは17件で、2026年8月13日の執筆時点では18件に増えていた。ただし同社は注意点も添えている。ここでの「稼働中」はDNSとして名前解決が有効という意味であり、実際に被害者からの接続に応答していることまで確認したものではない。

基盤の二層構造 — 自己完結の指令サーバと待機ドメインの備蓄

Whisperが有益だとする問いは、サーバの有無ではなく配線のされ方だ。グループのドメインのネームサーバ（名前解決を担う仕組み）の記録をたどると、稼働中の指令サーバは自己権威型、つまりドメイン・解決先アドレス・問い合わせへの応答を1台で担う構成で統一されていた。たとえばdmxqdlcuiryu.siteは45.80.148.195を指し、そのドメインのネームサーバ（ns1.dmxqdlcuiryu.site）も同じ45.80.148.195上にある。

一方で、マルウェアの応答も指令機能も持たず、ネームサーバの記録だけを保持する機械も別に存在する。そこに委任されたドメイン群は登録済みで攻撃者自身の機械がネームサーバに設定されながら、アドレスの記録を一切持たない。Whisperはこの状態のドメイン58件を「準備済みだが未使用の備蓄」と位置付け、内訳がDGAの命名規則に沿う8文字形式51件と旧来の16進形式7件であることも確認した。調査中に備蓄は56件から58件へと補充されており、稼働ではなく拡大の途上にあることを示している。ドメインと指令サーバの一覧は報告の添付資料（CSV 2件）として公開されている。

防御者が見るべき点 — アドレス付与の瞬間と「突き合わせ」の手法

Whisperによると、備蓄は攻撃者自身のDNS上で管理されており、58件のいずれかにアドレスの記録が付いた瞬間に新たな指令サーバが稼働したことになる。まだ何もしていないため評価情報にも遮断リストにも載らないが、攻撃者のDNSに委任され解決先を持たないドメインは、使用に先立つ準備の明確な兆候だという。

同社は、58件の名簿が有効期限付きの一覧であることも明言している。生成器は予定通りに名前を作り続けるため、備蓄は使われるたびに補充される。一方で長持ちするのは手法の側だ。「どの名前がどのネームサーバに委任されているか」と「どの名前がどのアドレスに解決されるか」という、普段は別々に読まれる2つの記録を突き合わせる方法は、この集団に限らず、稼働前にドメインを備蓄するどの攻撃者にも通用するとしている。防御者は当面の58件を監視しつつ、この突き合わせを自組織の脅威狩りにも取り入れることが、今取れる対応だと同社は結んでいる。

出典

• Prince of Persia: mapping the backend, and a reserve of domains staged for what comes next — Whisper Security（2026年8月公開、Kaveh Azarhoosh。基盤データは2026年8月13日時点）