Integrity Tech : l’arsenal derrière Flax Typhoon

Le 8 octobre 2026, l’agence américaine de cybersécurité CISA (1) publie, avec le FBI (2), la NSA (3), le NCSC-UK (4) britannique, l’ASD (5) australien par l’intermédiaire de son ACSC (6), le Centre canadien pour la cybersécurité, la NPA (7) et la NCO (8) japonaises, le NCSC-NZ (9) néo-zélandais et le CNI (10) espagnol, un avis conjoint référencé AA26-281A. Dix organismes de sept pays y décrivent comment une société chinoise, Integrity Technology Group (Integrity Tech), permet à des acteurs cyber liés au gouvernement chinois de voler des données sensibles chez des organisations du monde entier, dont des secteurs d’infrastructures critiques américaines.

Le document s’appuie sur des éléments techniques recueillis au cours de plusieurs enquêtes du FBI visant Integrity Tech. Il décrit un ensemble cohérent de TTP (11) : recherche de vulnérabilités par des outils de scan open source, attaques par cross-site scripting (XSS) (12), password spraying contre des comptes Microsoft Exchange, persistance par VPN (13) détourné, puis exfiltration de messageries par des scripts sur mesure. Les victimes recensées couvrent les secteurs Government Services and Facilities, Critical Manufacturing, Healthcare and Public Health et Information Technology aux États-Unis, ainsi que des organismes d’application de la loi, des établissements d’enseignement et des organisations religieuses en Asie du Sud-Est, en Afrique et en Amérique du Nord.

Integrity Tech est une société chinoise à but lucratif, basée à Pékin et liée au gouvernement chinois. Ses employés soutiennent l’activité cyber malveillante de plusieurs façons : acquisition ou développement d’outils, hébergement d’infrastructure, et compromission directe de réseaux chez des victimes dans le monde entier. L’avis désigne l’ensemble de cette activité, attribuée à la Chine, sous le terme générique d’acteurs ; le présent article reprend ce terme pour désigner les acteurs cyber que soutient Integrity Tech.

Le 3 janvier 2025, l’OFAC (16), l’organisme du Trésor américain chargé des sanctions économiques, avait déjà visé Integrity Tech pour son rôle d’infrastructure dans plusieurs intrusions informatiques attribuées publiquement à Flax Typhoon entre l’été 2022 et l’automne 2023. Le Trésor notait qu’Integrity Tech hébergeait une infrastructure utilisée par Flax Typhoon pour ses activités de CNE (17), avec des échanges réguliers d’informations entre les deux. Les biens américains d’Integrity Tech ont été bloqués et toute transaction avec la société par une personne américaine a été interdite.

L’avis AA26-281A précise que les acteurs soutenus par Integrity Tech emploient des TTP cohérentes avec l’activité connue publiquement sous les noms Flax Typhoon, Ethereal Panda et Red Juliett, entre autres. Les autorités signataires rappellent que les sociétés de cybersécurité suivent et attribuent les acteurs selon des méthodes différentes, qui ne correspondent pas nécessairement de façon biunivoque à la méthodologie du gouvernement américain pour l’ensemble de cette activité.

Les acteurs s’appuient sur une large panoplie d’outils de scan open source pour repérer les vulnérabilités des réseaux et des applications web : BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe et wpscan. Plusieurs de ces outils savent identifier une application distante, tester des protocoles d’authentification ou énumérer les pages d’un site. Le recours à des outils open source largement diffusés sur GitHub traduit, selon les autorités, une recherche de cibles parmi les plus vulnérables plutôt qu’un ciblage sur mesure.

Le balayage se concentre sur les ports 21 (FTP (18)), 22 (SSH (19)), 53 (DNS (20)), 80 (HTTP (21)), 443 (HTTPS (22)) et 1080 (SOCKS (23)). Lorsqu’ils emploient dirsearch contre un site web, les acteurs cherchent spécifiquement à énumérer des pages PHP (24) et ASP (.NET).

MicroScan, une plateforme de test d’intrusion depuis 2017

Depuis 2017 au moins, les acteurs utilisent également une application appelée MicroScan. Cette application web en Python embarque plus de 1 300 scripts de test d’intrusion écrits pour rechercher des vulnérabilités précises sur des sites web. Les scripts ciblent notamment OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins et Apache Struts. Les CVE exploitées avec succès et retrouvées dans ces scripts de test d’intrusion font l’objet de la section suivante.

• Technique ATT&CK associée : Active Scanning: Vulnerability Scanning, T1595.002
• Premier usage documenté de MicroScan : dès 2017
• Contenu de MicroScan : plus de 1 300 scripts de test d’intrusion

L’annexe B de l’avis liste huit CVE exploitées avec succès par les scripts de test d’intrusion de MicroScan. Cinq d’entre elles, marquées d’un astérisque par les autorités, viennent d’être ajoutées au catalogue KEV de la CISA : la vérification sur le flux JSON du catalogue confirme un ajout daté du 8 octobre 2026, jour de publication de l’avis, avec une échéance de correction fixée au 11 octobre 2026. Les trois autres figuraient déjà au catalogue depuis plus longtemps, deux depuis le 3 novembre 2021 (Pulse Connect Secure et GitLab, l’une et l’autre marquées d’un historique d’exploitation par rançongiciel) et une depuis le 2 octobre 2025 (Bash).

Fig. 1. Les huit CVE exploitées avec succès (Annexe B de l’avis). L’astérisque marque les cinq CVE ajoutées au catalogue KEV le 8 octobre 2026 ; le statut KEV et ses dates ont été vérifiés sur le flux JSON du catalogue, indépendamment du texte de l’avis.

Depuis la mi-janvier 2021 au moins, les acteurs accèdent aux réseaux et aux services cloud de leurs victimes principalement par des utilitaires en ligne de commande bâtis sur des codes d’exploitation écrits en Python et en Go. Ils emploient aussi JavaScript et du code HTML pour mener des attaques XSS, qui détournent une application tierce non avertie, vulnérable au XSS, pour modifier le contenu d’une page web et atteindre d’autres victimes.

Le FBI a récupéré une charge XSS utilisée par les acteurs. Exécutée sur un site web vulnérable fonctionnant avec JavaScript, elle modifie le contenu de la page pour y afficher des champs d’identifiant et de mot de passe, dans le but de récolter les identifiants saisis par la victime. Une fois qu’un identifiant et un mot de passe quelconques sont saisis, la page générée par la charge XSS propose un lien de téléchargement vers une archive .zip protégée par mot de passe. Le contenu de cette archive provient d’octets encodés directement dans la charge XSS et contient l’exécutable live700_v1.exe.

L’analyse de live700_v1.exe montre qu’il démarre un processus nommé DiagTrack.exe, qui reprend le nom d’un logiciel Windows légitime. DiagTrack.exe établit ensuite des communications chiffrées en HTTP avec le domaine dns.studiocloud[.]xyz, que le FBI attribue à Integrity Tech. L’exécutable contenant des fonctions de requête vers les données des boîtes de messagerie, le FBI estime que ce maliciel vise probablement l’exfiltration de données de messagerie.

Les acteurs utilisent EBurst, un outil open source en Python, pour cibler les comptes de l’environnement Microsoft Office 365 Cloud. L’outil compromet des comptes de messagerie sur des serveurs Microsoft Exchange en combinant plusieurs interfaces pour mener du password spraying et du password guessing contre chaque adresse de messagerie fournie. D’après le fichier ReadMe du projet EBurst en source ouverte, ces interfaces comprennent :

• ECP (27), le panneau de contrôle Exchange
• EWS (28), les services web Exchange
• OAB (29), le carnet d’adresses hors ligne
• OWA (30), l’accès web Outlook
• RPC (31), l’appel de procédure distante
• API (32)
• MAPI (33), l’interface de programmation de messagerie
• PowerShell
• Autodiscover
• Microsoft-Server-ActiveSync

Les défenseurs du réseau sont invités à couvrir l’ensemble de ces interfaces, et pas seulement OWA ou EWS, dans leur surveillance et leurs règles de détection contre EBurst.

Pour s’installer durablement, les acteurs déploient des clients VPN sur les équipements des victimes afin de masquer les communications de commandement et de contrôle (C2 (34)) et le reste de leurs actions, ce qui complique l’attribution de l’activité réseau malveillante. Ils emploient pour cela SoftEther, un logiciel VPN légitime et open source.

Sous Windows, les acteurs téléchargent les installeurs SoftEther depuis une infrastructure qu’ils contrôlent, via PowerShell ou des binaires LOTL (35). Sous Linux et Unix, ils les téléchargent par curl ou wget. Dans les deux cas, le client SoftEther est configuré pour se reconnecter automatiquement au démarrage. Les acteurs nomment fréquemment ces installeurs conhost.exe ou dllhost.exe, pour qu’ils ressemblent à des exécutables Windows courants. SoftEther étant un logiciel VPN légitime, les logiciels de détection sur les postes le signalent moins facilement qu’un outil dédié.

Dans plusieurs cas observés, les acteurs ont installé le programme SoftEther directement sur le serveur. L’analyse de ces serveurs a révélé des domaines et sous-domaines de victimes hébergeant les connexions SoftEther : 98aiblog[.]com, hmbcloud[.]com, hmbcloud[.]net, hmbiplc-01[.]com, iepl.node[.]cm, javacheck.ooguy[.]com, javaupdate.giize[.]com, sexytube0[.]com et twimg.co[.]uk.

Le FBI a observé les acteurs installer le client sur le poste de l’utilisateur final, qui se connecte ensuite au serveur de commande et de contrôle via l’un de ces domaines, sous-domaines, ou directement via l’adresse IP (36) du serveur. Les acteurs ont également accédé, depuis ces mêmes points de passage, à d’autres cibles, dont des sites web de sociétés de cybersécurité.

Le FBI a observé les acteurs télécharger des bases de données ou extraire manuellement des données depuis les messageries des victimes, puis préparer l’exfiltration sous des noms de fichiers discrets destinés à minimiser la détection d’un export MySQL de messagerie : 001.gif, All_scanner_vXX.pl.gz (XX représentant un nombre à un ou deux chiffres), css.js, include.png, m2k.js, m2k_list.js et m2k_ui_adm.js.

Curlc4.txt, un bot PHP pour l’API EWS

Le FBI a observé les acteurs créer un bot au moyen du script PHP Curlc4.txt pour obtenir les messages des victimes. Le script est conçu pour s’interfacer avec l’API EWS de Microsoft, qui permet d’accéder aux messages et à d’autres éléments de contenu comme les calendriers et les contacts. Le script semble autonome plutôt qu’installé en permanence sur un équipement compromis ; il téléverse les messages vers un serveur distant, masque une partie des répertoires et fichiers qu’il crée, et renomme son processus enfant en crypto.

Le script télécharge le fichier d’origine depuis https://upl.natcloudservice[.]com à l’adresse IP 149.28.132[.]137. Le domaine C2 principal du bot est natcloudservice[.]com, qui communique avec https://natcloudservice[.]com/ews et upl.natcloudservice[.]com/ews. Avant exfiltration, le bot compresse les messages ; dans certains cas, les acteurs chiffrent aussi les messages avec un mot de passe, par RC4 (37) ou par AES (38)-128-CBC.

Le script PHP accepte jusqu’à deux arguments en ligne de commande. Le premier semble désigner le répertoire racine d’exécution des scripts ; s’il n’est pas fourni, le script recherche un répertoire inscriptible selon l’ordre du Tableau 1, et y stocke le second argument dans une variable sauvegardée sur le système ciblé.

Fig. 2. Répertoires parcourus par Curlc4 à la recherche d’un emplacement inscriptible (Tableau 1 de l’avis).

Chaînes uniques relevées dans le script : $dir/storage/fm/.run ; $dir/.run ; public $password='jh4jnryw76ikmh' ; public $file='/var/tmp/.sess.zip' ; https://upl.natcloudservice[.]com/ews ; public $key='rhnr5m54pk65wertc' ; le réglage RC4 ($this->enc="r";$this->cipher="rc4";$this->iv="") ; le réglage AES-128-CBC ($this->enc="a";$this->cipher="aes-128-cbc";$this->iv="1111111111111111") ; https://natcloudservice[.]com/ews ; et l’en-tête HTTP personnalisé curl_setopt($this->ch, CURLOPT_HTTPHEADER,array("X-Id: $clientid")). D’autres répertoires et fichiers signalent une exécution du script sur un système : RUNNING_DIRECTORY/storage/fm, RUNNING_DIRECTORY/storage/fm.run (fichier), RUNNING_DIRECTORY/.run, RUNNING_DIRECTORY/clientid (fichier) et RUNNING_DIRECTORY/cp (fichier).

DC.exe et la réplication DCSync

Les acteurs utilisent DC.exe pour exécuter la technique de réplication DCSync, qui copie des informations sensibles de l’Active Directory (AD (39)) : identifiants de comptes, détails d’appartenance aux groupes et relations d’approbation. DC.exe établit une liaison RPC vers le contrôleur de domaine de la victime, puis utilise le service de réplication d’annuaire pour en extraire les données. Il récupère notamment un descripteur vers l’objet de stratégie de sécurité locale, utilisé pour interroger le contrôleur de domaine sur le nom de domaine DNS, le SID (40) de domaine et l’époque de réplication du domaine. Le fichier s’appuie aussi sur dix-neuf identifiants d’objet (OID LDAP) pour récupérer des attributs et des configurations de l’Active Directory, dont 1.2.840.113556.1.2.48, 1.2.840.113556.1.4.1 et 1.2.840.113556.1.4.609 ; la liste complète des dix-neuf OID figure dans l’avis original.

Données exfiltrées et restriction d’accès

Le FBI a récupéré une base de données de messagerie archivée que les acteurs utilisaient pour cibler les comptes de messagerie d’organisations victimes. Les acteurs collectent des identifiants de comptes et exfiltrent des données de messagerie depuis des systèmes sur site comme depuis des services cloud. Parmi les victimes recensées pour le vol de données de messagerie figurent des organisations gouvernementales, des services d’application de la loi, des systèmes de santé et des institutions religieuses en Asie du Sud-Est. Dans certains cas, les acteurs ont restreint l’accès aux données exfiltrées aux seules adresses IP localisées à Xiamen, en Chine.

Office-cli, l’automatisation de l’exfiltration Microsoft 365

Les acteurs utilisent l’utilitaire en ligne de commande office-cli pour cibler et accéder en continu à des comptes de messagerie Microsoft Outlook 365, et en exfiltrer le contenu sur différentes périodes. Ils actualisent occasionnellement ces comptes et les remplacent par les plus récents. office-cli automatise l’accès et l’exfiltration du contenu de messagerie à partir de fichiers de configuration tels que client_id, tenant_id et secret.

Le FBI a observé les acteurs exécuter office-cli en ligne de commande ou depuis un script Bash. Dans les deux cas, ils placent les fichiers JSON (41) nécessaires à l’accès aux boîtes de messagerie dans le répertoire de configuration ; office-cli enregistre ensuite les données collectées dans un sous-répertoire du répertoire de dump. Les acteurs échappent à la détection en utilisant cet outil parce qu’il recourt à des méthodes d’accès légitimes. Ils exploitent par ailleurs une application web sur mesure qui donne à des tiers l’accès au contenu de messagerie volé, dans laquelle un utilisateur peut passer des arguments précis dans une URL (42) pour consulter le contenu d’un compte donné.

L’avis cite lui-même sa correspondance avec le référentiel ATT&CK (43), en précisant utiliser la version 19 du référentiel. Chaque identifiant de technique a été vérifié ici sur les données STIX (44) officielles d’ATT&CK Enterprise, version 19.2 : tous les identifiants cités sont valides et correspondent au libellé donné par les autorités.

Fig. 3. Correspondance ATT&CK Enterprise v19.2, reprise de l’avis AA26-281A et vérifiée sur les données STIX officielles.

Si une compromission est détectée

Les autorités recommandent de déterminer les hôtes compromis et de les isoler, de lancer une recherche de menace pour délimiter l’intrusion, de collecter les artefacts et journaux pertinents pour établir la chronologie et les TTP employées, de suivre les obligations nationales de signalement des incidents, puis d’appliquer des contre-mesures d’éviction. La CISA met à disposition un outil dédié, Eviction Strategies Tool, qui combine l’application web Playbook-NG et la base de contre-mesures post-compromission COUN7ER, pour bâtir un plan d’éviction systématique assorti du résultat attendu, des étapes préparatoires et des risques de chaque action.

Mesures d’atténuation recommandées

Fig. 4. Synthèse des mesures d’atténuation recommandées par les autorités, alignées sur les CPG (47) de la CISA et du NIST (48).

Les autorités recommandent aussi de tester en continu les contrôles de sécurité existants contre chacune des techniques ATT&CK listées en section 9, à l’aide de CISA Decider ou d’un outil équivalent de correspondance, pour objectiver la performance réelle des détections en place plutôt que de supposer leur couverture.

L’avis publie seize tableaux d’indicateurs et de correspondances, avec un avertissement explicite des autorités : plusieurs indicateurs remontent jusqu’à 2016, et leur vérification est recommandée avant toute action de blocage. Les tableaux ci-dessous reprennent intégralement les indicateurs nommés et les lots de hachages (webshells, binaires, fichiers déposés), directement exploitables en détection. Les deux tableaux de noms de domaine et d’adresses IP bruts sont très volumineux (218 noms de domaine et 516 adresses IP, avec des dates de première observation s’échelonnant de 2012 à 2024) et ne sont pas reproduits ligne à ligne ici ; ils sont disponibles dans leur intégralité, au format STIX, directement depuis l’avis original (voir Sources).

Domaines et hôtes attribués directement à l’activité

Contrairement aux deux tableaux bruts, ce tableau qualifie chaque entrée par son rôle (infrastructure ou hôte SoftEther) et recoupe les domaines déjà cités en section 7.

Fig. 5. Les 24 domaines et hôtes attribués directement à l’activité (Table 12 de l’avis).

Webshells

Fig. 6. Six webshells du dépôt d’outillage CNE des acteurs (Table 13 de l’avis).

Binaires et scripts de l’outillage

Fig. 7. Seize binaires et scripts du dépôt d’outillage CNE (Table 14 de l’avis). Noter que masscan et NMAP, cités en section 3, n’apparaissent pas dans ce tableau de hachages : seule leur présence dans le texte de l’avis les rattache aux acteurs.

Fichiers déposés chez les victimes

Fig. 8. Dix fichiers potentiellement déposés chez les victimes (Table 15 de l’avis). Deux exemplaires distincts de dllhost.exe figurent avec des empreintes différentes.

L’avis constitue une source primaire conjointe, co-signée par dix organismes gouvernementaux. Les éléments vérifiables indépendamment ont été recoupés.

1. CISA (1) : Cybersecurity and Infrastructure Security Agency, agence américaine de cybersécurité et de sécurité des infrastructures.
2. FBI (2) : Federal Bureau of Investigation, police fédérale américaine.
3. NSA (3) : National Security Agency, agence de renseignement électromagnétique américaine.
4. NCSC-UK (4) : National Cyber Security Centre, centre national de cybersécurité du Royaume-Uni.
5. ASD (5) : Australian Signals Directorate, agence de renseignement électromagnétique australienne.
6. ACSC (6) : Australian Cyber Security Centre, centre de cybersécurité de l’ASD.
7. NPA (7) : National Police Agency, agence nationale de police du Japon.
8. NCO (8) : National Cybersecurity Office, bureau national de cybersécurité du Japon.
9. NCSC-NZ (9) : National Cyber Security Centre, centre national de cybersécurité de Nouvelle-Zélande.
10. CNI (10) : Centro Nacional de Inteligencia, centre national de renseignement espagnol.
11. TTP (11) : Tactics, Techniques, and Procedures, tactiques, techniques et procédures employées par un acteur.
12. XSS (12) : Cross-Site Scripting, injection de script exécuté côté navigateur dans une page web vulnérable.
13. VPN (13) : Virtual Private Network, réseau privé virtuel.
14. CVE (14) : Common Vulnerabilities and Exposures, identifiant public attribué à une vulnérabilité.
15. KEV (15) : Known Exploited Vulnerabilities, catalogue de la CISA des vulnérabilités dont l’exploitation est constatée.
16. OFAC (16) : Office of Foreign Assets Control, organisme du Trésor américain chargé des sanctions économiques.
17. CNE (17) : Computer Network Exploitation, exploitation de réseau informatique à des fins de renseignement ou d’intrusion.
18. FTP (18) : File Transfer Protocol, protocole de transfert de fichiers.
19. SSH (19) : Secure Shell, protocole d’accès distant chiffré.
20. DNS (20) : Domain Name System, système de résolution des noms de domaine.
21. HTTP (21) : Hypertext Transfer Protocol, protocole de transfert du web.
22. HTTPS (22) : HTTP Secure, HTTP chiffré par TLS.
23. SOCKS (23) : protocole de relais de connexions réseau au travers d’un serveur mandataire.
24. PHP (24) : langage de script côté serveur très employé pour le développement web.
25. CWE (25) : Common Weakness Enumeration, classification des faiblesses logicielles.
26. CVSS (26) : Common Vulnerability Scoring System, système de notation de la gravité des vulnérabilités.
27. ECP (27) : Exchange Control Panel, panneau de contrôle de Microsoft Exchange.
28. EWS (28) : Exchange Web Services, services web de Microsoft Exchange.
29. OAB (29) : Offline Address Book, carnet d’adresses hors ligne d’Exchange.
30. OWA (30) : Outlook Web Access, interface web d’Outlook.
31. RPC (31) : Remote Procedure Call, appel de procédure distante.
32. API (32) : Application Programming Interface, interface de programmation.
33. MAPI (33) : Messaging Application Programming Interface, interface de programmation de messagerie de Microsoft.
34. C2 (34) : Command and Control, infrastructure de commandement et de contrôle d’un acteur.
35. LOTL (35) : Living Off the Land, usage d’outils et de binaires déjà présents et légitimes sur un système pour mener une action malveillante.
36. IP (36) : Internet Protocol, protocole d’adressage du réseau Internet.
37. RC4 (37) : Rivest Cipher 4, algorithme de chiffrement par flot.
38. AES (38) : Advanced Encryption Standard, algorithme de chiffrement par bloc.
39. AD (39) : Active Directory, service d’annuaire de Microsoft.
40. SID (40) : Security Identifier, identifiant de sécurité unique d’un compte ou d’un domaine Windows.
41. JSON (41) : JavaScript Object Notation, format texte de données structurées.
42. URL (42) : Uniform Resource Locator, adresse d’une ressource sur le web.
43. ATT&CK (43) : Adversarial Tactics, Techniques, and Common Knowledge, référentiel de tactiques et techniques d’attaque maintenu par MITRE.
44. STIX (44) : Structured Threat Information Expression, format d’échange de données sur les menaces, utilisé pour publier ATT&CK et les indicateurs de cet avis.
45. ICAM (45) : Identity, Credential, and Access Management, gestion des identités, des identifiants et des accès.
46. MFA (46) : Multifactor Authentication, authentification multifacteur.
47. CPG (47) : Cross-Sector Cybersecurity Performance Goal, objectif de performance de cybersécurité transsectoriel défini par la CISA et le NIST.
48. NIST (48) : National Institute of Standards and Technology, institut américain de normalisation technique.
49. MD5 (49) : Message Digest 5, fonction de hachage employée ici comme empreinte complémentaire.
50. SHA-256 (50) : Secure Hash Algorithm 256 bits, fonction de hachage employée pour les empreintes de fichiers.

1. CISA, FBI, NSA, NCSC-UK, ASD’s ACSC, Canadian Centre for Cyber Security, NPA, NCO, NCSC-NZ, CNI, Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data, avis AA26-281A, 8 octobre 2026. cisa.gov/aa26-281a
2. CISA, paquets d’indicateurs de compromission de l’avis AA26-281A, formats STIX JSON (1 021,16 Ko) et STIX XML (658,87 Ko), 8 octobre 2026. Liens disponibles depuis la page de l’avis ci-dessus.
3. U.S. Department of the Treasury, Office of Foreign Assets Control, Treasury Sanctions Technology Company for Support to Malicious Cyber Group, 3 janvier 2025. home.treasury.gov
4. CISA, catalogue Known Exploited Vulnerabilities, flux JSON consulté le 9 octobre 2026. cisa.gov/known_exploited_vulnerabilities.json
5. NIST, National Vulnerability Database, fiches CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 et CVE-2023-22894, consultées le 9 octobre 2026. nvd.nist.gov
6. MITRE, ATT&CK Enterprise v19.2, données STIX, consultées le 9 octobre 2026. github.com/mitre-attack/attack-stix-data
7. CISA, People’s Republic of China Threat Overview and Advisories, consulté le 9 octobre 2026. cisa.gov/china