APT36, noto anche come Transparent Tribe, è un gruppo di minaccia spesso monitorato per operazioni in stile spionaggio e per il targeting persistente. In alcune indagini, i cluster di malware vengono collegati ad APT36 con confidenza moderata quando gli analisti osservano infrastrutture sovrapposte, pattern di codice simili e scelte di targeting ripetute, anche se le prove non sono sufficienti per un'attribuzione definitiva.
APT36 è importante perché l'attribuzione a livello di gruppo aiuta i difensori a collegare campioni separati in un unico quadro operativo. Invece di basarsi solo sugli hash dei file, gli analisti cercano domini condivisi, hosting, comportamento di comando e controllo, metodi di persistenza e artefatti del compilatore o della build. Negli attacchi reali, questo può rivelare varianti di malware correlate, suggerire profili di vittima probabili e migliorare il rilevamento. Nella difesa, monitorare il riuso dell'infrastruttura e la sovrapposizione comportamentale è spesso più efficace che aspettare che un campione noto riappaia invariato.