Una nuova analisi di threat intelligence segnala una riserva di domini collegati all’attività dell’APT iraniano noto come Infy, indicato anche nella campagna “Prince of Persia”. Secondo la ricostruzione, 58 domini sarebbero stati predisposti come infrastruttura DNS dormiente, potenzialmente utilizzabile come server di comando e controllo in operazioni successive.

Il ruolo dei domini dormienti

Le infrastrutture di comando e controllo non vengono sempre attivate subito. In molti casi gli attori preparano domini, record DNS e hosting con largo anticipo, mantenendoli in stato inattivo o poco visibile fino al momento operativo. Questa tecnica complica il lavoro dei difensori, perché gli indicatori possono apparire benigni o privi di traffico rilevante durante la fase di preparazione.

Nel caso attribuito a Infy, la presenza di un gruppo consistente di domini suggerisce una strategia di ridondanza: se un nodo viene bloccato o identificato, altri elementi dell’infrastruttura possono essere usati per mantenere la comunicazione con sistemi compromessi o per sostenere nuove campagne.

Un gruppo con attività persistente

Infy è osservato da anni nel panorama delle minacce avanzate e viene associato ad attività di spionaggio digitale. Le sue operazioni hanno storicamente fatto uso di malware, infrastrutture di rete dedicate e tecniche di persistenza per raccogliere informazioni da obiettivi selezionati. La disponibilità di domini predisposti conferma l’importanza del monitoraggio preventivo dell’infrastruttura, non solo degli indicatori già attivi.

Per i team di sicurezza, il punto operativo è integrare gli indicatori pubblicati dalle fonti di intelligence con controlli DNS, proxy e sistemi di rilevamento endpoint. Il valore non è solo bloccare domini noti, ma anche osservare risoluzioni anomale, domini appena registrati, pattern ricorrenti nei certificati e variazioni improvvise nei record.

Implicazioni per la difesa

Le organizzazioni esposte a minacce persistenti dovrebbero trattare le infrastrutture dormienti come segnali di preparazione, non come semplici curiosità tecniche. La correlazione tra telemetria interna, intelligence esterna e logging DNS può ridurre i tempi di individuazione quando un dominio passa dalla fase di attesa all’uso operativo.

La raccomandazione pratica è verificare gli indicatori disponibili, aggiornare le regole di monitoraggio e mantenere procedure di risposta rapide per eventuali comunicazioni verso domini collegati a infrastrutture C2. La gestione deve restare proporzionata: un dominio registrato non prova da solo una compromissione, ma può diventare un elemento utile nel quadro complessivo di rilevamento.