The filter matches aliases the row does not print — searching fancy bear or sofacy finds APT28. Seen is the span of first-seen dates, recovered from upstream history reaching back to 2014.
Origin and sector come from the MISP galaxy's threat-actor cluster and only exist for actors ATT&CK profiles: 80 of 312 actors carry a suspected origin (26%) and 56 a targeted sector. Filtering on either therefore hides every unprofiled actor, not just the ones that do not match — an absent origin means nobody published one, not that the actor has none.
| ATT&CK | Group | IOCs | Seen | Files |
|---|---|---|---|---|
| G0047 | Gamaredon GroupRU GAMAREDON · GAMAREDON-1 · actinium · apt-c-53 · armageddon · bluealpha · gamaload · gamawiper · +16 | 62,980 | 2017–2026 | json · domains |
| G0094 | KimsukyKP APT-C-55 · Black Banshee · HancomAgent · HttpTroy · Larva-25004 · RftRAT · +15 | 25,678 | 2019–2026 | json · domains |
| G0069 | MuddyWaterIR BoggySerpens · COBALT ULSTER (# https://malpedia.caad.fkie.fraunhofer.de/actor/muddywater) · MERCURY · Seedworm · Static Kitten · TA450 · +7 | 15,674 | 2018–2026 | json · domains |
| — | UNC6691 coruna · plasmagrid | 8,599 | 2026 | json · domains |
| G0134 | Transparent TribePK TRANSPARENTTRIBE · G0134 · actionrat · apt-c-56 · apt36 · crimsonrat · curlbackrat · +13 | 7,811 | 2015–2026 | json · domains |
| G0032 | Lazarus GroupKP LAZARUS · akdoortea · alluring pisces · applejeus · appleworm · apt-c-26 · apt-q-1 · +71 | 5,380 | 2017–2026 | json · domains |
| G0121 | SidewinderIN GroupA21 · apt-04 · apt-c-24 · apt-q-39 · apt-q-42 · babyelephant · +6 | 3,768 | 2018–2026 | json · domains |
| G0096 | APT41CN BARIUM · WICKEDPANDA · AXIOMATICASYMPTOTE · RedEcho · apt-c-41 · bamboloader · double dragon · eagerbee · +14 | 3,526 | 2017–2026 | json · domains |
| G0058 | Charming KittenIR CHARMINGKITTEN · ajax security team · apt-c-51 · apt35 · apt42 · bellaciao · charmingcypress · +24 | 2,410 | 2016–2026 | json · domains |
| G0040 | PatchworkIN DONOT · HANGOVER · GEOShell · apachestealer · apt-c-09 · apt-c-35 · backconfig · chinastrats · +14 | 2,244 | 2018–2026 | json · domains |
| G0082 | APT38KP 38 · BLUENOROFF · CoreKit · NimDoor · RTV4 · cageychameleon · cryptocore · cryptomimic · +5 | 2,115 | 2018–2026 | json · domains |
| G0006 | APT1CN COMMENTCREW | 2,099 | 2015–2022 | json · domains |
| — | UNC2465 smokedham | 2,030 | 2024–2026 | json · domains |
| G0007 | APT28RU SOFACY · KTA007 · SNAKEMACKEREL · STRONTIUM · TG-4127 · UAC-0001 · UAC-0028 · +14 | 1,894 | 2015–2026 | json · domains |
| — | UNCLASSIFIED | 1,541 | 2018–2026 | json · domains |
| — | PEGASUS | 1,524 | 2017–2023 | json · domains |
| G0045 | menuPassCN HOGFISH · apt10 · earth kasha · gallium · noopldr · stone panda | 1,500 | 2017–2026 | json · domains |
| G0016 | APT29RU DUKE · UNC2452 · BlueBravo · CloudDuke · CosmicDuke · Cozy Bear · CozyDuke · GeminiDuke · +30 | 1,088 | 2015–2026 | json · domains |
| G0081 | Tropic TrooperCN 23 · KEYBOY · TA428 · AirdViper · DNSep · apt-c-23 · apt23 · famoussparrow · ironhusky · +9 | 844 | 2017–2026 | json · domains |
| G0122 | Silent LibrarianIR COBALTDICKENS · cobalt dickens · mabna institute · ta407 | 836 | 2018–2024 | json · domains |
| G0034 | Sandworm TeamRU SANDWORM · TELEBOTS · KALAMBUR backdoor · apt44 · blackenergy · iron viking · quedagh · seashell blizzard · +2 | 771 | 2016–2026 | json · domains |
| — | RAINBOWHYENA cargotalon · eaglet implant · headmare · phantomc2 · phantomcore · phantomocx · +3 | 705 | 2024–2026 | json · domains |
| G1002 | BITTERIN AlmondRAT · BDarkRAT · Hazy Tiger · KugelBlitz · MiyaRAT · MuuyDownloader · +18 | 670 | 2018–2026 | json · domains |
| — | UNC1151 Ghostwriter · HALFSHELL · Influence Activity · PUSHCHA · RADIOSTAR · Storm-0257 · +10 | 620 | 2020–2026 | json · domains |
| — | KUN3 apt-k-un3 | 582 | 2024–2026 | json · domains |
| G0050 | APT32VN OCEANLOTUS · SectorF01 · apt-c-00 · apt-c-32 · phantomlance · rotajakiro · spectralviper · +1 | 547 | 2017–2026 | json · domains |
| G0129 | Mustang PandaCN CAMARODRAGON · LUMINOUSMOTH · MUSTANGPANDA · TA416 · BASIN · Earth Preta · HoneyMyte · MQsTTang · Red Lich · RedDelta · +14 | 540 | 2019–2026 | json · domains |
| — | DNSPIONAGE | 519 | 2018–2022 | json · domains |
| G0067 | APT37KP 37 · REAPER · Red Eyes · RokRAT · TA-RedAnt · Temp.Reaper · Thallium · Venus 121 · +11 | 494 | 2016–2026 | json · domains |
| G1033 | Star BlizzardRU COLDRIVER · baitswitch · calisto · coldcopy · darksword · lostkeys · mayberobot · +4 | 475 | 2022–2026 | json · domains |
| — | MERCENARYAMANDA Dark Basin | 462 | 2018–2023 | json · domains |
| G0012 | DarkhotelKR apt-c-06 · apt06 · thinmon | 326 | 2015–2024 | json · domains |
| G0010 | TurlaRU UNC4210 · apolloshadow · atg26 · blue python · kazuar · kopiluwak · kypton · +10 | 325 | 2015–2026 | json · domains |
| — | LIBRARIANGHOULS rare werewolf | 311 | 2024–2026 | json · domains |
| G0027 | Threat Group-3390CN 27 · IRONTIGER · apt 27 · apt27 · bronze union · cycldek · emissary panda · goblin panda · +7 | 291 | 2018–2026 | json · domains |
| — | SILENTLYNX hydra saiga · shadowsilk | 284 | 2025–2026 | json · domains |
| G0049 | OilRigIR IRN2 · apt34 · greenbug · helixkitten · spearal · veaty | 271 | 2017–2026 | json · domains |
| — | GAZA ta402 | 264 | 2015–2023 | json · domains |
| — | INFY foudre | 263 | 2020–2026 | json · domains |
| G0131 | Tonto TeamCN BISONAL · tonto · tontoteam | 246 | 2018–2023 | json · domains |
| G0100 | InceptionRU CLOUDATLAS · APT-LY-1007 · CloudFall · CyrillicRAT · PowerShower | 239 | 2016–2026 | json · domains |
| G0004 | Ke3changCN GREF · Mirage · Playful Dragon · Royal APT · Vixen Panda · apt15 | 220 | 2017–2026 | json · domains |
| — | UNC2814 gridtide | 212 | 2026 | json · domains |
| G0112 | Windshift BAHAMUT | 210 | 2018–2026 | json · domains |
| — | POKINGTHEBEAR RedControle · StickyKeys | 203 | 2019 | json · domains |
| G1012 | CURIUMIR IMPERIALKITTEN · TORTOISESHELL · IMAPLoader · crimson sandstorm · imperial kitten · ta456 · yellow liderc | 202 | 2019–2023 | json · domains |
| — | GREENSPOT apt-c-01 · poison ivy | 189 | 2019–2025 | json · domains |
| G0120 | Evilnum DEATHSTALKER | 186 | 2020–2022 | json · domains |
| G1028 | APT-C-23PS ARIDVIPER · DESERTFALCON · arid gopher · arid viper · spyc23 | 180 | 2015–2024 | json · domains |
| — | UNC4841 SALTWATER · SEASIDE · SEASPY | 152 | 2023–2026 | json · domains |
| — | REDFOXTROT | 148 | 2019–2025 | json · domains |
| — | UNC5952 | 141 | 2025 | json · domains |
| — | MIDDLEEAST | 134 | 2017–2020 | json · domains |
| — | PREDATOR CVE-2023-41991 · CVE-2023-41992 · CVE-2023-41993 · Cytrox Predator | 127 | 2023–2026 | json · domains |
| — | BLACKGEAR | 121 | 2017–2020 | json · domains |
| — | OBSMOGWAI dimanorat · donnect · obstinate mogwai · trochilusrat | 120 | 2024 | json · domains |
| G1007 | Aoqin DragonCN AOQINDRAGON · Heyoka · Mongall · UNC94 | 115 | 2022–2024 | json · domains |
| — | EQUATIONGROUP | 112 | 2015–2016 | json · domains |
| — | UNC2596 CVE-2023-36884 · dustyhammock · meltingclaw · romcom · rustyclaw · shadyhammock · +3 | 111 | 2022–2026 | json · domains |
| — | COLDWASTREL | 105 | 2024 | json · domains |
| G0064 | APT33IR 33 | 102 | 2017–2024 | json · domains |
| — | SPACEPIRATES | 97 | 2019–2022 | json · domains |
| — | APPIN whiteelephant | 96 | 2016–2024 | json · domains |
| G0038 | Stealth FalconAE FRUITYARMOR · STEALTHFALCON | 96 | 2017–2026 | json · domains |
| — | UNC4221 | 96 | 2024–2026 | json · domains |
| — | UNC5537 | 96 | 2024 | json |
| G0099 | APT-C-36 BLINDEAGLE · aguilaciega · apt-q-98 · apt36 · blind eagle · blotchyquasar · tag-144 | 95 | 2018–2026 | json · domains |
| — | 1877TEAM | 94 | 2023 | json · domains |
| — | XDSPY xdigo | 94 | 2020–2026 | json · domains |
| — | PAPERWEREWOLF echogather · goffee | 93 | 2026 | json · domains |
| G0090 | WIRTEPS ashenlepus · ashenloader · ashenorchestrator · ashenstager · ashtag | 90 | 2018–2026 | json · domains |
| G0019 | NaikonCN deadringer | 84 | 2017–2023 | json · domains |
| G0029 | Scarlet MimicCN SCARLETMIMIC · fakem · fakemrat | 81 | 2016–2024 | json · domains |
| — | OPERA1ER bluebottle · commonraven · desktop group | 81 | 2022–2023 | json · domains |
| — | EARTHESTRIES hemigate · krustyloader · trillclient · zingdoor | 80 | 2023–2026 | json · domains |
| G0056 | PROMETHIUMTR STRONGPITY · apt-c-41 | 79 | 2018–2024 | json · domains |
| G0087 | APT39IR CHAFER · itg07 | 78 | 2018–2021 | json · domains |
| — | UNC5221 uta0178 · verdantbamboo · warppanda | 78 | 2024–2026 | json · domains |
| G0065 | LeviathanCN MUDCARP · TEMPPERISCOPE · apt-c-40 · apt40 · periscope | 73 | 2018–2022 | json · domains |
| G0073 | APT19CN CODOSO · c0d0so0 · codoso team · deep panda · sunshop group | 71 | 2015–2026 | json · domains |
| G0079 | DarkHydrus | 68 | 2018–2022 | json · domains |
| G0135 | BackdoorDiplomacy QUARIAN · Turian | 67 | 2019–2023 | json · domains |
| — | LUCKYCAT exilerat · sepulcher · shadownet · ta413 | 67 | 2015–2022 | json · domains |
| — | VENOMSPIDER goldenchickens · moreeggs · revc2 · terracryptor · terraloader · terrastealer · +3 | 66 | 2019–2026 | json · domains |
| G1039 | RedCurl REDWOLF · earthkapre · goldblade · redloader | 65 | 2023–2026 | json · domains |
| — | USH unfading sea haze | 65 | 2024 | json · domains |
| — | CHAMELGANG camofei | 64 | 2020–2023 | json · domains |
| G0098 | BlackTechCN EARTHHUNDUN | 62 | 2018–2026 | json · domains |
| G0030 | Lotus BlossomCN LOTUSBLOSSOM · chrysalis · hacked notepad++ · warbird | 60 | 2015–2026 | json · domains |
| — | VICIOUSPANDA byeby · microcin · mikroceen · vicious panda | 60 | 2020–2024 | json · domains |
| — | REDOCTOBER | 59 | 2015 | json · domains |
| — | SCIERON HeaderTip · cosmicbeetle · scarab · spacecolon | 59 | 2015–2024 | json · domains |
| — | EARTHBERBEROKA | 58 | 2020–2024 | json · domains |
| — | PKPLUG | 58 | 2018–2023 | json · domains |
| — | DARKRIVER matadoor | 54 | 2023 | json · domains |
| — | UNC2529 doubleback · doubledrag · doubledrop | 54 | 2021–2022 | json · domains |
| G1001 | HEXANEIR LYCEUM · danbot | 52 | 2019–2022 | json · domains |
| G1041 | Sea TurtleTR MARBLEDDUST · TEALKURMA · snappytcp | 51 | 2023–2026 | json · domains |
| — | TIBET | 51 | 2016–2020 | json · domains |
| G0091 | Silence | 50 | 2019–2020 | json · domains |
| — | ICEFOG | 50 | 2019 | json · domains |
| — | FORUMTROLL taxoff · team46 | 49 | 2024–2026 | json · domains |
| G0078 | Gorgon Group GORGON | 48 | 2019–2022 | json · domains |
| — | Q12 | 48 | 2022–2026 | json · domains |
| — | VOIDBLIZZARD laundry bear · pluggyape · ta-488 · ta488 · uac-0190 · void blizzard | 46 | 2026 | json · domains |
| — | NETTRAVELER | 45 | 2015–2017 | json · domains |
| — | NONAME05716 bobik · ddosia · killnet | 45 | 2023–2026 | json · domains |
| — | DUSTSPECTER ghostform · splitdrop · twintalk · twintask | 44 | 2026 | json · domains |
| — | UNC5174 snowlight · vshell | 43 | 2026 | json · domains |
| G0097 | Bouncing GolfIR DOMESTICKITTEN · apt-c-50 | 42 | 2018–2026 | json · domains |
| G1023 | APT5CN 5 · apt-c-5 | 42 | 2022 | json · domains |
| — | MIDDLEFLOOR apt-unk2 | 40 | 2024 | json · domains |
| — | GOLDENJACKAL | 39 | 2023–2024 | json |
| — | TINYSCOUTS oldgremlin · tinyfluff | 39 | 2020–2022 | json · domains |
| — | CALYPSO | 38 | 2019–2022 | json · domains |
| G0095 | Machete apt-c-43 · apt43 | 38 | 2019–2024 | json · domains |
| G1035 | Winter VivernRU WINTERVIVERN · sharpshooter · ta473 | 38 | 2018–2023 | json · domains |
| G0070 | Dark CaracalLB DARKCARACAL | 36 | 2024 | json · domains |
| G0137 | Ferocious KittenIR FEROCIOUSKITTEN · MarkiRAT | 36 | 2021–2026 | json · domains |
| — | HELLHOUNDS | 36 | 2023–2024 | json · domains |
| — | WUQIONGDONG apt-c-59 · apt-q-11 · shadowtiger | 36 | 2022 | json · domains |
| — | BADMAGIC | 35 | 2021–2026 | json · domains |
| — | PARAGON bigpretzel · graphite spyware | 35 | 2026 | json · domains |
| — | QUASAR | 35 | 2017 | json · domains |
| — | SECTORA05 | 35 | 2019 | json · domains |
| — | UNC3890 | 35 | 2022 | json · domains |
| G0052 | CopyKittensIR | 34 | 2017 | json · domains |
| — | Q27 apt-q-27 · dragon breath · golden eye dog | 34 | 2023–2026 | json · domains |
| — | CARETO | 32 | 2015–2022 | json · domains |
| — | SOBAKEN SPECTR · Vermin · firmachagent | 32 | 2018–2026 | json · domains |
| G1022 | ToddyCat | 31 | 2022–2023 | json · domains |
| — | NIGHTEAGLE APT-Q-95 | 31 | 2026 | json · domains |
| — | SHARPPANDA | 31 | 2021–2024 | json · domains |
| — | TRIANGULATION angry spark | 30 | 2023–2026 | json · domains |
| — | BUHTRAP UAC-0008 | 29 | 2018–2022 | json · domains |
| G1045 | Salt TyphoonCN GHOSTEMPEROR · entryshell · sparrowdoor · xiangoop | 29 | 2021–2026 | json · domains |
| — | INNAPUT | 28 | 2018 | json · domains |
| — | OILALPHA | 28 | 2023 | json · domains |
| — | UNC4899 JumpCloud | 28 | 2023 | json · domains |
| G0133 | Nomadic OctopusRU DUSTSQUAD · Octopus · Paperbug | 27 | 2018–2023 | json · domains |
| — | HACKINGTEAM | 27 | 2018 | json · domains |
| — | THEWIZARDS darknights · dknife · spellbinder · wizardnet | 27 | 2026 | json · domains |
| — | UNC2190 54bb47h · sabbath | 27 | 2021–2022 | json · domains |
| G1005 | POLONIUMLB | 26 | 2022–2023 | json |
| — | UNC6353 darksword | 26 | 2026 | json · domains |
| G0013 | APT30CN 30 | 25 | 2019–2020 | json · domains |
| G0128 | ZIRCONIUMCN JUDGMENTPANDA · apt-31 · bronze vinewood | 25 | 2019–2022 | json · domains |
| G0136 | IndigoZebraCN | 25 | 2021 | json · domains |
| — | UNC4990 | 25 | 2023–2024 | json · domains |
| — | EARTHKRAHANG dinodas · dinodasrat · linodas · linodasrat | 24 | 2023–2026 | json · domains |
| — | ICEPEONY | 24 | 2024 | json · domains |
| — | FINFISHER | 23 | 2015–2022 | json · domains |
| G0060 | BRONZE BUTLERCN REDBALDKNIGHT · TICK | 23 | 2018–2023 | json · domains |
| — | ISOON i-soon | 23 | 2026 | json · domains |
| — | TA410 FlowCloud · LookBack · LookingFrog · Witchetty | 23 | 2020–2022 | json · domains |
| — | BATSHADOW vampirebot | 22 | 2024–2026 | json · domains |
| G1054 | MirrorFaceCN lodeinfo · mirrorstealer | 22 | 2022–2024 | json · domains |
| — | TIDRONE clntend · cxclnt | 22 | 2024–2026 | json · domains |
| G0075 | RancorCN | 21 | 2019 | json · domains |
| G0140 | LazyScripter | 21 | 2019–2022 | json · domains |
| — | MODIFIEDELEPHANT | 21 | 2019–2022 | json · domains |
| — | PEEPINGTITLE magalenha | 20 | 2023 | json |
| — | SEAFLOWER | 20 | 2022 | json · domains |
| — | DOWNEX BlackGuard · cherryspy · hatvibe | 19 | 2023–2025 | json · domains |
| — | RAMPANTKITTEN | 19 | 2018–2020 | json · domains |
| — | VOIDARACHNE | 19 | 2024 | json · domains |
| — | EARTHKURMA dmloader · dunloader · frpc · icmpinger · kmlog · krnrat · +7 | 18 | 2026 | json · domains |
| — | SKYCLOAK vortex werewolf | 18 | 2026 | json · domains |
| — | TENGYUNSNAKE apt-c-61 · apt-q-122 | 18 | 2021–2023 | json · domains |
| — | UNC215 | 18 | 2021–2022 | json |
| — | UNC4553 ridile | 18 | 2023 | json · domains |
| — | DALBIT m00nlight | 17 | 2023 | json · domains |
| G0026 | APT18CN 18 | 17 | 2015–2019 | json · domains |
| G0046 | FIN7RU CARBONSPIDER | 17 | 2020–2022 | json · domains |
| G0086 | Stolen Pencil STOLENPENCIL · babyshark · kimjongrat | 17 | 2018–2019 | json · domains |
| G0125 | HAFNIUMCN Hade ransomware · TimosaraHackerTerm | 17 | 2021–2022 | json · domains |
| — | UNC961 | 17 | 2022 | json |
| — | CDT | 16 | 2018 | json · domains |
| — | CYBERBIT | 16 | 2018 | json · domains |
| G0011 | PittyTiger apt-5 · apt5 · pittypanda · ptiger · ptrat | 16 | 2019–2021 | json · domains |
| — | UNC5792 | 16 | 2026 | json · domains |
| — | FAMILIARFEELING | 15 | 2018–2022 | json · domains |
| G0003 | CleaverIR | 15 | 2015 | json · domains |
| G0017 | DragonOKCN | 15 | 2017–2024 | json · domains |
| G0126 | HigaisaKR | 15 | 2020–2024 | json · domains |
| — | GOLDDRAGON brave prince · ghost419 · gold dragon | 15 | 2019–2024 | json · domains |
| — | HERMIT | 15 | 2019 | json · domains |
| — | KARAKURT Karakurt Lair · Karakurt Team | 15 | 2022–2024 | json · domains |
| — | 60 apt-c-60 · apt-q-12 · spyglace | 14 | 2023–2024 | json · domains |
| G1034 | DaggerflyCN EVASIVEPANDA · Bronze Highland | 14 | 2020–2025 | json · domains |
| — | Q015 operation run · utg-q-015 | 14 | 2026 | json · domains |
| — | BOTEAM black owl · brockendoor · hoody hyena · lifting zmiy · zeronetkit | 13 | 2026 | json · domains |
| G0005 | APT12CN 12 · apt-c-12 · bluemushroom · dnscalc · dyncalc · ixeshe | 13 | 2019–2020 | json · domains |
| — | UNC2970 lidshift · lidshot · lightshift · plankwalk · sideshow · temp.hermit · +1 | 13 | 2022–2023 | json |
| — | DRIFTINGCLOUD | 12 | 2022 | json · domains |
| — | GOLDMELODY AUDITUNNEL · IHS Back-Connect backdoor | 12 | 2022–2023 | json |
| — | PACKRAT | 12 | 2018 | json · domains |
| — | PURPLEHAZE goreshell | 12 | 2026 | json · domains |
| — | 73 eraleig ransomware | 11 | 2024–2026 | json · domains |
| — | ATLASCROSS | 11 | 2023 | json · domains |
| — | BLOODYWOLF | 11 | 2026 | json · domains |
| — | BOOKWORM | 11 | 2017 | json · domains |
| — | CARDERBEE | 11 | 2023 | json · domains |
| — | CRIMSONCOLLECTIVE crimson collective | 11 | 2026 | json |
| G1019 | MoustachedBouncerBY | 11 | 2023 | json · domains |
| — | PUNISHINGOWL | 11 | 2026 | json · domains |
| — | REDJULIETT | 11 | 2024 | json · domains |
| — | TA2101 | 11 | 2019 | json · domains |
| — | 48 apt-c-48 | 10 | 2024–2026 | json · domains |
| — | BABYSHARK | 10 | 2019–2022 | json · domains |
| G0022 | APT3CN GOTHICPANDA · apt-c-3 · ups | 10 | 2018–2019 | json · domains |
| G0024 | Putter PandaCN PUTTERPANDA · msupdater | 10 | 2022 | json · domains |
| G0138 | AndarielKP ONYXSLEET · STONEFLY · apt-45 · apt45 · onyx sleet · silent chollima | 10 | 2022–2024 | json · domains |
| G1048 | UNC3886CN castletap · mopsled · redpenguin · riflespine · tinyshell | 10 | 2026 | json |
| — | MINIDUKE | 10 | 2015–2019 | json · domains |
| — | SHAMOON | 10 | 2017–2019 | json · domains |
| — | CAVERNMANTICORE cav3rn | 9 | 2026 | json · domains |
| — | DUNEQUIXOTE CR4T | 9 | 2024 | json · domains |
| — | EGOMANIAC | 9 | 2022 | json · domains |
| G0123 | Volatile CedarLB VOLATILECEDAR · DeftTorero · LebaneseCedar | 9 | 2015–2022 | json · domains |
| — | REDNOVEMBER leslieloader · storm-2077 | 9 | 2026 | json · domains |
| — | TAG28 UIDAI | 9 | 2022 | json · domains |
| — | TEMPTINGCEDAR | 9 | 2018–2020 | json · domains |
| — | GROUNDBAIT | 8 | 2017–2020 | json · domains |
| — | INDRA | 8 | 2022 | json |
| — | ROCKETMAN | 8 | 2018–2019 | json |
| — | SNOWMAN | 8 | 2017 | json · domains |
| — | TVRMS | 8 | 2018 | json · domains |
| — | UNC3500 | 8 | 2022 | json · domains |
| — | VICESOCIETY Chily · PolyVice · RedAlert · SunnyDay | 8 | 2022 | json · domains |
| G0035 | DragonflyRU ENERGETICBEAR · crouching yeti · iron liberty · tg-4192 | 7 | 2019–2020 | json · domains |
| G0077 | Leafminer | 7 | 2018 | json · domains |
| — | GREYENERGY | 7 | 2018 | json |
| — | KAPEKA KnuckleTouch · WrongSens | 7 | 2024 | json |
| — | LONGHORN apt-c-39 · coloredlamberts · lambert · plexor | 7 | 2021 | json · domains |
| — | WEBKY | 7 | 2018 | json · domains |
| — | XPATH | 7 | 2019–2020 | json · domains |
| — | BLADEDFELINE laret · pinar | 6 | 2026 | json |
| — | FLAXTYPHOON | 6 | 2023–2026 | json · domains |
| — | GOLDENRAT | 6 | 2018 | json · domains |
| — | INEDIBLEOCHOTENSE | 6 | 2026 | json · domains |
| — | IRONHUSKY mysterysnail | 6 | 2022 | json · domains |
| — | LONGNOSEDGOBLIN nosydoor · nosydownloader · nosyhistorian | 6 | 2026 | json · domains |
| — | NEWSBEEF | 6 | 2017 | json · domains |
| — | POTAO | 6 | 2017 | json · domains |
| — | RNEXUS | 6 | 2018 | json · domains |
| — | RUSTICWEB | 6 | 2023–2024 | json · domains |
| — | SCANBOX | 6 | 2018 | json · domains |
| — | UNC4166 SPAREPART · STOWAWAY | 6 | 2022 | json · domains |
| — | VAJRAELEPH APT-Q-43 · VajraSpy | 6 | 2022 | json · domains |
| — | DARKPINK | 5 | 2023–2026 | json · domains |
| — | EVAPIKS finteam | 5 | 2019 | json · domains |
| — | FLIGHTNIGHT | 5 | 2024 | json · domains |
| — | FLYINGYETI cookbox | 5 | 2024 | json · domains |
| G0025 | APT17CN 17 · apt-c-17 · blackcoffee · deputy dog | 5 | 2019–2024 | json · domains |
| G0041 | StriderUS SAURON | 5 | 2017 | json · domains |
| — | GOLDMOUSE apt-c-27 | 5 | 2019 | json |
| — | NOISYBEAR | 5 | 2026 | json · domains |
| — | TWISTEDPANDA | 5 | 2022 | json · domains |
| — | UNC4108 ghostweaver | 5 | 2025–2026 | json · domains |
| — | UNC6692 snowbelt · snowglaze | 5 | 2026 | json · domains |
| — | WEAKESTLINK | 5 | 2017 | json · domains |
| — | CYBERAV3NGERS iocontrol | 4 | 2024 | json · domains |
| — | EARTHWENDIGO | 4 | 2021 | json · domains |
| G0043 | Group5 | 4 | 2018 | json · domains |
| — | MURENSHARK | 4 | 2022 | json · domains |
| — | SANDMAN | 4 | 2023 | json · domains |
| — | UNC2447 | 4 | 2021 | json · domains |
| — | 45 | 3 | 2024 | json |
| — | DEADLYKISS | 3 | 2019 | json · domains |
| G0084 | Gallmaker | 3 | 2018 | json |
| G1006 | Earth LuscaCN TAG22 · tag-22 | 3 | 2021 | json · domains |
| — | GOPHERWHISPER boxoffriends · compactgopher · laxgopher · ratgopher · sslordoor | 3 | 2026 | json |
| — | KASABLANKA | 3 | 2023 | json · domains |
| — | MALKAMAK | 3 | 2021 | json · domains |
| — | MOTORBEACON CAPI backdoor | 3 | 2026 | json · domains |
| — | NEWSPENGUIN | 3 | 2023 | json · domains |
| — | SILENCERLION | 3 | 2020 | json · domains |
| — | TAJMAHAL | 3 | 2019 | json · domains |
| — | UNC5812 | 3 | 2024 | json · domains |
| — | 68 apt-c-68 · apt-q-15 | 2 | 2024 | json · domains |
| — | BABAR | 2 | 2016 | json |
| — | BLUEPRINT | 2 | 2019 | json · domains |
| — | CARACALKITTEN apt-q-58 | 2 | 2023 | json |
| — | DOCLESS | 2 | 2019 | json |
| G0068 | PLATINUM | 2 | 2019 | json · domains |
| — | GLASSES | 2 | 2018 | json · domains |
| — | GOLDENBIRD | 2 | 2019 | json |
| — | SHIQIANG | 2 | 2019 | json · domains |
| — | STONEDRILL | 2 | 2017 | json · domains |
| — | STUXNET | 2 | 2016 | json · domains |
| — | TA5918 uat-5918 · uat-7237 | 2 | 2026 | json · domains |
| — | UNC3966 | 2 | 2023 | json · domains |
| — | UNC6293 | 2 | 2026 | json |
| — | CASPER | 1 | 2015 | json |
| — | CLOUDWIZARD | 1 | 2023 | json · domains |
| — | COSMICDUKE | 1 | 2015 | json · domains |
| — | EZQ | 1 | 2018 | json |
| G1003 | Ember BearRU CADETBLIZZARD | 1 | 2023 | json · domains |
| G1055 | VOID MANTICOREIR BANISHEDKITTEN · aa22-264a · banished kitten · homeland justice · karma · red sandstorm · storm-0842 | 1 | 2026 | json · domains |
| — | GRAYLING | 1 | 2023 | json |
| — | HEZIRASH | 1 | 2026 | json · domains |
| — | NOVISPY | 1 | 2024 | json |
| — | POISONNEEDLES | 1 | 2022 | json |
| — | SAGUARO | 1 | 2021 | json · domains |
| — | SIMBAA | 1 | 2019 | json · domains |
| — | TA240524 ABCloader · ABCsync · Actor240524 | 1 | 2024 | json |
| — | TA555 | 1 | 2020 | json |
| — | UNC2565 | 1 | 2023 | json · domains |
| — | UNC3535 | 1 | 2022 | json |
| — | UNC4191 bluehaze · darkdew · mistcloak | 1 | 2022 | json · domains |
| — | WHITECOMPANY | 1 | 2018 | json · domains |
No group matches. Active 90d uses the date an indicator entered Maltrail, so a long-quiet actor drops out even when its infrastructure is still listed.