TheWizards est un groupe APT aligné sur la Chine qui emploie l'outil Spellbinder pour des attaques de type adversary-in-the-middle, en exploitant l'usurpation IPv6 SLAAC afin de rediriger les mises à jour logicielles légitimes vers des serveurs malveillants. Ils ont développé la porte dérobée WizardNet pour Windows et diffusent DarkNights vers des applications Android, ce qui indique un lien avec Dianke Network Security Technology. Le groupe cible des particuliers et des entreprises aux Philippines, au Cambodge, aux Émirats arabes unis, en Chine continentale et à Hong Kong. ESET a observé leur infrastructure et leurs outils, notamment l'acquisition de serveurs destinés à héberger des C&C et des mises à jour malveillantes.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).