Révélé pour la première fois en 2023, le groupe Sandman APT est probablement associé à des clusters de menaces présumés basés en Chine et connus pour utiliser la porte dérobée KEYPLUG, en particulier STORM-0866/Red Dev 40. Sandman est suivi comme un cluster distinct, dans l'attente d'informations supplémentaires concluantes. Une caractéristique notable est son utilisation de la porte dérobée LuaDream. LuaDream repose sur la plateforme Lua, un choix relativement rare dans le domaine du cyberespionnage, historiquement associé à des APT considérés comme occidentaux ou alignés sur l'Occident.
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).