Link phishingowy, który celowo przestał działać

Jeden wygasły adres URL ujawnił kampanię phishingową opartą na Mailer-Go, Cloudflare Workers oraz przynętą EvilTokens w usłudze OneDrive.

Pierwszy adres URL już nie działał.

Nie ładował formularza do podania danych uwierzytelniających ani nie wyświetlał fałszywej strony logowania Microsoftu. Zamiast tego zwracał wygasłą odpowiedź śledzącą – dokładnie to, co operator chciał, aby skanery i analitycy zobaczyli po pierwszym kliknięciu.

To mogło z łatwością oznaczać koniec śledztwa: jedna zgłoszona wiadomość phishingowa, spalony link i brak widocznego ładunku. Jednak wygasły adres URL wciąż ujawniał wystarczająco dużo informacji o infrastrukturze, by zacząć podążać tym tropem. To, co nastąpiło później, doprowadziło nas do Mailer-Go Mission Control – platformy do masowego phishingu, o której w momencie analizy nie znaliśmy żadnych publicznie dostępnych informacji.

Mailer-Go zajmował się stroną dostarczania kampanii, w tym szablonami wiadomości e-mail, zarządzaniem odbiorcami, infrastrukturą SMTP, obsługą serwerów proxy oraz linkami śledzącymi dla poszczególnych odbiorców. Ostatni etap phishingu następował później, za pośrednictwem strony Cloudflare Workers, na której działał EvilTokens – znany zestaw phishingowy wykorzystujący kod urządzenia OAuth firmy Microsoft.

Sam EvilTokens nie był nowością. Naszą uwagę przykuła otaczająca go infrastruktura: sposób, w jaki ofiary były tam kierowane, jak operator przełączał infrastrukturę po zablokowaniu domeny oraz w jakim stopniu łańcuch dostarczania był zaprojektowany tak, by zniknąć po wykonaniu użytecznego kliknięcia.

Link wygasł, ale schemat pozostał ten sam

Zgłoszona wiadomość e-mail zawierała adres URL śledzenia pod adresem:

coldchain-distribution[.]com

Adres URL miał strukturę, którą później powiązaliśmy z Mailer-Go:

hxxps://<8-hex>.link.<domain>/t/v3.<campaign-id>.<recipient-token>

Każdy odbiorca otrzymywał unikalny token. Po wykorzystaniu tego tokenu kolejne żądania nie docierały już do aktywnego łańcucha phishingowego, a zamiast tego zwracano komunikat o wygaśnięciu. Ofiara mogła zatem zobaczyć prawdziwy adres docelowy, podczas gdy skaner lub analityk, który pojawił się później, widział coś zupełnie innego.

To zachowanie stało się jedną z bardziej przydatnych wskazówek w śledztwie. Link nie był po prostu drogą do strony phishingowej. Działał również jako brama, która zamykała się po użyciu, ograniczając to, co można było później odzyskać z tego samego adresu URL.

Pierwsza domena, coldchain-distribution[.]com, została zarejestrowana 1 czerwca 2026 r. Gdy systemy wykrywania zaczęły nadrabiać zaległości, operator przeniósł działalność na domenę healthprofessionals21[.]org, która została zarejestrowana tego samego dnia. Jej poddomeny śledzące prowadziły do tego samego adresu IP serwera Linode, z którego korzystała wcześniejsza kampania, a ostatecznie zaobserwowano ponad 40 poddomen typu *.link.healthprofessionals21[.]org.

Fałszywy blog na stronie głównej

W katalogu głównym domena zastępcza wyglądała na nieszkodliwą.

healthprofessionals21[.]org udostępniała blog poświęcony technologii i grom, zawierający artykuły o konsolach, sieciach VPN i urządzeniach multimedialnych. Treść była uboga i ogólnikowa, ale wystarczająco wiarygodna, by skanery i przypadkowi odwiedzający mogli zindeksować coś zwyczajnego. Sama infrastruktura phishingowa znajdowała się pod domenami *.link.healthprofessionals21[.]org.

Rysunek 1: Katalog główny domeny healthprofessionals21[.]org zawierał fałszywy blog poświęcony technologii i grom. Infrastruktura śledząca była hostowana w poddomenach *.link.

Przez krótki czas konfiguracja ta wydawała się spełniać swoje zadanie. Domena zastępcza początkowo nie była wykrywana na podstawie reputacji, podczas gdy łańcuch phishingowy pozostawał aktywny.

Do dnia 10 czerwca 2026 r. sytuacja zaczęła się zmieniać. Firma Fortinet oznaczyła domenę jako phishingową, a firma ESET zidentyfikowała ją jako podejrzaną, jednak operator wykorzystywał ją już jako infrastrukturę awaryjną po zablokowaniu domeny coldchain-distribution[.]com.

Czym jest Mailer-Go

Mailer-Go Mission Control prezentuje się jako komercyjna platforma do prowadzenia kampanii e-mailowych. Jej panel administracyjny zawiera moduły do zarządzania kampaniami, listami odbiorców, tworzeniem wiadomości e-mail, dostawcami SMTP, routingiem proxy, śledzeniem, licencjami oraz powiadomieniami o aktualizacjach.

Żadna z tych funkcji, rozpatrywana osobno, nie świadczy o złych zamiarach. Ich połączenie trudniej jednak wyjaśnić jako cechę zwykłego produktu do masowej wysyłki wiadomości.

Mailer-Go obsługuje routing przez serwery proxy i wielu dostawców SMTP, a także generuje jednorazowe tokeny śledzące, które po pierwszym kliknięciu nie ujawniają rzeczywistego adresu docelowego. Zawiera również wbudowane zarządzanie licencjami, jednak w momencie przeprowadzania naszej analizy nie udało nam się znaleźć żadnej publicznej dokumentacji, śladów na GitHubie ani widocznej obecności legalnego produktu na rynku. Ta sama strona logowania do Mailer-Go była widoczna w poddomenach kampanii typu „wildcard”.

Z umiarkowaną pewnością oceniamy, że Mailer-Go jest oprogramowaniem stworzonym specjalnie do celów przestępczych, a nie legalnym narzędziem do symulacji phishingu, które zostało nadużyte. Ocena ta opiera się na całości platformy: obsłudze serwerów proxy, elastycznej infrastrukturze wysyłkowej, niszczeniu tokenów, kontrolowanym dostępie oraz braku publicznych śladów legalnej działalności.

Przydatne ślady to:

Mailer-Go Mission Control

/assets/js/tracking.js?v=20260522d
/assets/js/proxies.js?v=20260513b
/assets/js/sending-infrastructure.js?v=20260513b
/assets/dist/emailbuilder2/manifest.json

Zaobserwowany kod HTML panelu administracyjnego miał następujący identyfikator SHA-256:

3a026fcb5001327198ac3886e6983183e44b8a5daa0086d34c10cb65130c6f89

Aktywne tokeny wskazywały rzeczywiste miejsce docelowe

Wygasłe linki stanowiły jedynie część obrazu. Zrzuty ekranowe z serwisu URLScan dotyczące tokenów, które wciąż były aktywne, wskazywały inną ścieżkę.

Ważne linki śledzące Mailer-Go były kierowane przez:

mysocalledblog[.]com/sev/

Ten serwer przekaźnikowy przekierowywał następnie ofiarę na stronę Cloudflare Workers. Zgodnie z konwencją EvilTokens poddomena Workers zakodowała adres e-mail docelowego odbiorcy, który zostało przez nas zamazane:

9sfo-bnqi-4yap.[adres-odbiorcy-zaznaczony]-s-account.workers[.]dev

Strona przedstawiała się jako proces udostępniania dokumentu w usłudze OneDrive oparty na pliku o nazwie Confidential_Memo.docx. Zrzuty ekranu pokazały kilka etapów działania strony, w tym ekran „Przygotowywanie weryfikacji…”, przejściowy błąd „pobieranie nie powiodło się” oraz, co najważniejsze, stronę wyświetlającą kod urządzenia Microsoft.

Rysunek 2: Ostateczna strona wyświetla kod urządzenia Microsoftu i instruuje ofiarę, by przeszła dalej do serwisu Microsoft.

Nie było fałszywego formularza hasła Microsoftu. Ofiara została przekierowana na prawdziwą stronę logowania do urządzenia Microsoftu. Jeśli wprowadziła kod i zakończyła uwierzytelnianie, klient kontrolowany przez atakującego mógł w tle odebrać tokeny OAuth.

Ma to istotne konsekwencje dla reagowania na incydenty. Zresetowanie hasła użytkownika może okazać się niewystarczające, jeśli token odświeżający został już wydany. Kroki reagowania omówimy później w sekcji poświęconej obrońcom.

Dlaczego Visa pojawiła się w łańcuchu przekierowań

Wygasłe tokeny podążały inną trasą.

Zamiast trafić na stronę EvilTokens, przechodziły przez:

arduinosolutions[.]com/sev/

a następnie lądowały na autentycznych stronach Visa, takich jak visa[.]fr, visa[.]com, visa[.]de i innych.

Początkowo stwarza to mylący obraz sytuacji, ponieważ Visa pojawia się wielokrotnie w danych dotyczących przekierowań, podczas gdy potwierdzona przynęta phishingowa podszywała się pod Microsoft OneDrive.

Wyjaśnienie było prostsze. Visa pełniła rolę rezerwowej przykrywki dla nieważnych tokenów. Gdy token śledzący tracił ważność, użytkownik był przekierowywany na autentyczną stronę zamiast na stronę phishingową. Osoba klikająca link w późniejszym czasie mogła słusznie wywnioskować, że nie doszło do żadnego złośliwego zdarzenia, a analityk rekonstruujący łańcuch zdarzeń po fakcie mógł dojść do tego samego błędnego wniosku.

E-maile zostały skonstruowane tak, by przetrwać skanowanie statyczne

Zidentyfikowaliśmy pięć próbek wiadomości phishingowych w formacie EML powiązanych z kampanią. Podobieństwo ich nagłówków MIME potwierdza wniosek, że pochodziły one z tej samej platformy wysyłkowej.

W wiadomościach wykorzystano ogólne motywy dokumentów B2B, w tym przynętę w postaci „Dodatku do oferty przetargowej” nawiązującego do firmy Autodesk. Nie znaleźliśmy żadnych dowodów na szczegółowy rozpoznanie branżowe, więc działanie to wygląda bardziej na szeroko zakrojone ataki B2B niż na ściśle dostosowaną kampanię.

W treściach wiadomości e-mail zastosowano również prostą technikę zaciemniania, polegającą na przeplataniu znaków znakami zapytania:

T?h?i?s?

Tekst pozostaje czytelny dla człowieka, ale dodane znaki utrudniają dopasowywanie słów kluczowych i działanie niektórych systemów wykrywania opartych na treści. W momencie analizy zaobserwowane próbki nie zostały wykryte przez żadne silniki dostępne w naszym wewnętrznym zbiorze danych.

W niektórych wiadomościach zaobserwowaliśmy również stosowanie opakowania Microsoft SafeLinks. W tych przypadkach oryginalny adres URL Mailer-Go był przechowywany w atrybucie originalsrc, a nie w widocznym atrybucie href, dlatego analitycy sprawdzający ślady wiadomości e-mail powinni sprawdzić oba te elementy.

Wnioski dla osób odpowiedzialnych za bezpieczeństwo

Najbardziej przydatne wskaźniki obecności Mailer-Go prawdopodobnie pochodzą raczej z warstwy dostarczania niż z samej przynęty. Treść phishingowa może ulec szybkiej zmianie, a adres URL Workers może zniknąć. Struktura śledzenia jest bardziej stała.

W tej kampanii linki Mailer-Go wykorzystywały subdomeny *.link.<domena> oraz ścieżkę /t/v3. zawierającą numeryczny identyfikator kampanii, po którym następował długi token szesnastkowy:

hxxps://<8-hex>.link.<domena>/t/v3.<identyfikator-kampanii>.<token-odbiorcy>

Panel administracyjny ujawnił również wielokrotnego użytku sygnatury, w tym tytuł „Mailer-Go Mission Control” oraz ścieżki JavaScript z oznaczeniem wersji, takie jak:

/assets/js/tracking.js?v=20260522d
/assets/js/proxies.js?v=20260513b
/assets/dist/emailbuilder2/manifest.json

W środowiskach Microsoft 365 potwierdzony atak phishingowy wykorzystujący kod urządzenia nie powinien być traktowany jak zwykły phishing haseł. Jeśli atakujący otrzymał token odświeżający, zresetowanie hasła może nie uniemożliwić dostępu. Reakcja powinna obejmować unieważnienie aktywnych sesji i tokenów odświeżających, przegląd logowań za pomocą kodu urządzenia, sprawdzenie zgód aplikacji, przegląd zarejestrowanych metod uwierzytelniania i urządzeń oraz poszukiwanie nowych reguł skrzynki pocztowej, zmian w uwierzytelnianiu wieloskładnikowym (MFA) lub podejrzanego dostępu do plików po kliknięciu.

Przypisanie odpowiedzialności i ograniczenia

Nie powiązaliśmy tej kampanii z żadnym konkretnym podmiotem stanowiącym zagrożenie.

Operator wydaje się być klientem EvilTokens, które jest sprzedawane na rynku. Sytuacja w przypadku Mailer-Go jest mniej jasna. Jego cechy licencyjne i architektura o charakterze komercyjnym sugerują kontrolowaną dystrybucję, ale nie wiemy, w jaki sposób platforma ta jest sprzedawana lub udostępniana, i nie możemy wykluczyć możliwości, że operator stojący za tą kampanią jest również zaangażowany w jej rozwój.

Istnieją również inne ograniczenia dotyczące tego, co mogą nam powiedzieć dostępne dowody. Zaobserwowaliśmy sygnał pobrania pliku PE o niskim poziomie pewności w telemetrii środowiska sandbox, ale nie odzyskano żadnego pliku wykonywalnego, a ten sam sygnał pojawił się podczas testowania w środowisku sandbox samego panelu administracyjnego Mailer-Go. Bez dowodów z poziomu punktu końcowego wskazujących na pobranie lub uruchomienie pliku PE po kliknięciu przez ofiarę nie traktujemy tego jako potwierdzonego dostarczenia złośliwego oprogramowania po stronie ofiary.

Wnioski

Zgłoszony link został już wyłączony, ale nadal ujawniał architekturę dostarczania kampanii. Za wygasłym adresem URL krył się serwer śledzący Mailer-Go, domena zapasowa z fałszywą stroną główną, węzły przekaźnikowe o niepotwierdzonej własności oraz strona EvilTokens nadużywająca przepływu kodu urządzenia firmy Microsoft.

Mailer-Go to element, który specjaliści ds. bezpieczeństwa powinni śledzić poza ramami tej kampanii. Ostateczna przynęta może ulec zmianie. Adres URL serwisu Workers może zniknąć. Warstwa dystrybucji pozostawia wyraźniejsze ślady: subdomeny *.link.<domena>, ścieżki śledzenia /t/v3, tokeny jednorazowego użytku, ujawnione panele administracyjne oraz niewielki zestaw ponownie wykorzystywanych odcisków palców JS.