Cloudflare：攻击者滥用 Proofpoint 与 Intermedia 链接包装投递钓鱼——邮件安全网关反成攻击跳板
📖 原文翻译与解读。原文：Attackers abusing Proofpoint & Intermedia link wrapping to deliver phishing payloads（Cloudflare Email Security / Cloudforce One，2025-07-30）
一、概述与时间线
2025 年 6 月至 7 月，Cloudflare Email Security 团队追踪到一类网络犯罪威胁活动：攻击者利用 Proofpoint 与 Intermedia 的链接包装（link wrapping）功能来掩盖钓鱼负载，借助"用户对这些安全服务的天然信任"以及"扫描器识别恶意页面的时间差"来绕过防御。核心是——攻击者没有去攻克安全产品本身，而是把安全产品产出的"受信任 URL"当作攻击基础设施来用。
二、链接包装本是如何工作的
链接包装由 Proofpoint 等邮件安全厂商设计，用于保护用户：将所有被点击的 URL 通过扫描服务路由，在点击瞬间拦截已知恶意目标。例如一封指向 http://malicioussite[.]com 的邮件链接，会被重写为 https://urldefense[.]proofpoint[.]com/v2/url?u=httpp-3A__malicioussite[.]com。这对已知威胁有效，但存在一个致命时间窗：如果包装后的链接在用户点击那一刻尚未被扫描器标记，攻击仍然可以得手。
Intermedia 的包装域则为 url[.]emailprotection[.]link（形如 https://url[.]emailprotection[.]link/?b3lqgzpZ...）。近期活动显示，攻击者滥用这两家的包装能力，将受害者重定向到多种伪造的 Microsoft Office 365 钓鱼页。该技术尤其危险，因为用户远比点击普通未包装的钓鱼链接更愿意点击一个"看起来受信任"的 Proofpoint 或 Intermedia URL。
三、Proofpoint 滥用活动：把恶意 URL「洗白」
Proofpoint 链接包装滥用的核心，是先非法获取已受 Proofpoint 保护的邮箱账户（即本来就启用了 Proofpoint URL 包装的账户）。攻击者利用这些账户，把恶意 URL 通过 Proofpoint 的链接包装"洗白"，再以看似合法的新链接分发出去——要么直接从该受保护账户发出，要么经另一个被入侵账户或攻击者控制的账户发出。
其中一类典型手法是多层重定向滥用（结合 URL 缩短器）：攻击者先用 Bitly 等公共 URL 缩短器缩短恶意链接以增加混淆，再通过受 Proofpoint 保护的账户发出；Proofpoint 自动对该短链做包装，形成一条层层加码的混淆链：
URL 缩短器 → Proofpoint 包装 → 钓鱼落地页
诱饵案例 1：伪造语音邮件通知。邮件伪装成语音邮件提醒，按钮"Listen to Voicemail"指向一个 mjt[.]lu 短链，该短链跳转到 Proofpoint 包装链接，再经一连串重定向抵达伪造的 Microsoft Office 365 登录页。
诱饵案例 2：伪造 Microsoft Teams 共享文档。邮件伪装成 Teams 文档共享，按钮"Access Teams Document"同样指向短链，经 Proofpoint 包装（urldefense[.]proofpoint[.]com/v2/url?u=http-3A_scra..）最终重定向到 scratchpaperjournal[.]com 等疑似微软钓鱼页面。
四、Intermedia 滥用活动：受保护账户从内部分发
Cloudflare 观察到的 Intermedia 滥用同样聚焦于获取受链接包装保护的邮箱账户，但确认Intermedia 平台自身并未被攻破。攻击者是入侵了某受 Intermedia 保护组织内部的邮箱账户，再由内部分发钓鱼邮件；邮件经过 Intermedia 基础设施时，链接被自动重写为 url[.]emailprotection[.]link。
诱饵案例 1：伪造 Zix 安全消息。"View Secure Document"按钮指向 Intermedia 包装 URL，重定向到 Constant Contact 页面，真正的钓鱼页就托管其上。
诱饵案例 2：伪造共享 Word 文档。"Go to file"按钮指向 Intermedia 包装 URL，最终重定向到盗取凭据的 Microsoft 钓鱼页。
诱饵案例 3：伪造 Microsoft Teams 消息。"Reply in Teams"按钮指向同一 Intermedia 包装 URL，重定向目标同样是伪造的 Microsoft 登录页。
五、影响与数据
用合法的 urldefense[.]proofpoint[.]com 与 url[.]emailprotection 伪装恶意目标，滥用受信任链接包装显著抬高了攻击成功率。Cloudflare 引用了以下数据：
- 直接财务损失：2024 年，邮件是 25% 欺诈举报的接触方式；其中 11% 导致财务损失，总额达 5.02 亿美元，单起中位损失 600 美元（FTC 2024 年度数据手册）。
- 个人账号泄露→身份盗窃：钓鱼是攻击者获取个人信息的主要手段，促成 2024 年 110 万份身份盗窃举报，以信用卡欺诈与政府福利欺诈为最。
- 受害者时间负担：税务相关身份盗窃案件在 FY2024 平均解决耗时超 22 个月（676 天）。
- 钓鱼是头号入侵手法：Comcast 研究显示，67% 的入侵始于有人点击了"看似安全"的链接。
- 凭据窃取激增：Picus Security 2024 年观测到凭据窃取事件激增 300%，此类高成效钓鱼技术或是推手之一。
六、检测与缓解：传统信誉过滤已失效
由于该活动滥用的是安全供应商的受信任域名，传统基于信誉的 URL 过滤基本无效。Cloudflare Email Security 为此编写了两条检测规则（EDF 名称），结合历史活动信号并训练了面向"链接包装 URL 邮件"的机器学习模型：
SentimentCM.HR.Self_Send.Link_Wrapper.URLSentimentCM.Voicemail.Subject.URL_Wrapper.Attachment
报告同时公开了 IOC 与邮件检测指纹（EDF 指纹示例：0a454b5ae642aa6131c9f6734590e205cb84:258ecaee8d3b24963cce163874a3），可用于构建拦截签名与威胁狩猎。用户侧防御要点：即便链接来自 Proofpoint/Intermedia 包装域名，对语音邮件、Teams、Word、Zix 等意外诱饵邮件仍须核实，不应因"受信任域名"放松警惕。
七、ztpop 解读：邮件安全网关为何会被「反噬」，MAEF 盾的应对思路
这条攻击链对昆仑邮件安全产品线有直接的警示价值：
- 「受信任域名」本身就是攻击面。当安全网关把外部链接重写为自家域名时，等于把一部分信任"借"给了该域名。攻击者一旦控制受保护账户，就能让网关替自己"背书"。这要求网关不能只做 URL 重写，还要对包装链接的最终落地目标、重定向跳数、落地页内容做持续的内容级检测，而非仅依赖域名信誉。
- 时间窗是命门。扫描器在"点击瞬间"才判定，给新鲜钓鱼页留出存活窗口。MAEF 盾的本地推理（数据不出墙）可在邮件入站与用户点击两个时刻都做内容研判，缩短乃至消除这一窗口。
- AI 对 AI 攻防的预演。攻击者未来完全可能用 LLM 自动生成海量"洗白"链接与诱饵文案。网关侧也必须用 AI 做规模化内容判别与异常模式识别——这正是 MAEF 盾"AI 对 AI"产品线的战略立足点。
参考来源
了解更多行业资讯，请访问 行业资讯首页 或致电 021-69753778 获取邮件安全咨询服务。
相关文章
—— Cloudflare Email Security / Cloudforce One 译介，ztpop.net 邮件安全团队整理