Una sorgente del payload è il server, l'host del file o la destinazione di reindirizzamento che consegna il malware stesso o il codice della fase successiva dopo che un'esca iniziale è stata raggiunta. In una tipica catena di infezione, la vittima può contattare prima una pagina dall'aspetto innocuo, quindi essere reindirizzata a una sorgente del payload che distribuisce un eseguibile, uno script, un archivio o un downloader.
Questo termine è importante perché la sorgente del payload è spesso più rilevante del dominio visibile. Gli attaccanti ruotano le sorgenti del payload per aggirare blocchi, rimozioni e sistemi di reputazione, mentre i difensori usano la sorgente per tracciare il riutilizzo dell'infrastruttura tra campagne. I team di sicurezza cercano IP ripetuti, provider di hosting, schemi ASN, certificati TLS e comportamenti di reindirizzamento per collegare domini che cambiano al medesimo livello di distribuzione. In pratica, una campagna può continuare a spostare il dominio esca ma riutilizzare la stessa sorgente del payload finché non viene compromessa, per poi sostituirla con un'altra posizione.