Onderwerp: [OT] Begrijpen van e-mail headers

Nu er weer een virus de kop op steekt, tracht ik via de headers te
begrijpen wat er gebeurd. Echter het is redelijk chinees voor mij.

Hieronder een voorbeeld van headers.
Ik hoop dat er iemand zo goed is om wat uitleg te geven.
Mijn echt adres wordt gebruikt en is onherkenbaar gemaakt.

Ik zie drie Received: entries
Is de volgorde te lezen van onder naar boven?
Ik veronderstel dat de machine van de From: besmet is of via een open
relay misbruikt wordt.
Die persoon is waarschijnlijk eerder slachtoffer en weet het misschien
niet.
Wat is de beste methode om hem te verwittigen, via een abuse melding of
rechtstreeks naar hem?
Wat houdt die X-Envelope-Rcpt in?
Zelfde vraag voor de envelope-from.

Dank bij voorbaat.

------------------headers----------------
Received: from zerodown.tiscali.nl (zerodown.tiscali.nl [195.241.76.116])
by pop3-6.worldonline.nl (8.9.3 (WOL 1.2.4)/8.9.3) with ESMTP id
JAA10226
for <wanaxxxxxx@pop3-6.worldonline.nl>; Tue, 27 Jan 2004 09:41:13
+0100 (MET)
(envelope-from philip.devrieze@econophone.be)
From: philip.devrieze@econophone.be
Received: from wanadoo.be (vic.be.wanadoo.com [195.74.212.103])
by zerodown.tiscali.nl (8.9.3 (WOL 1.2.4)/8.9.3) with ESMTP id JAA06692
for <wanaxxxxxx@tempdomain.tiscali-business.be>; Tue, 27 Jan 2004
09:41:11 +0100 (MET)
X-Envelope-Rcpt: <wanaxxxxxx@tempdomain.tiscali-business.be>
Received: from econophone.be (cable-195-162-216-74.upc.chello.be
[195.162.216.74])
by wanadoo.be (8.12.2/8.12.2) with ESMTP id i0R8f9N22377890
for <xxxxxxx@wanadoo.be>; Tue, 27 Jan 2004 09:41:09 +0100 (MET)
Message-Id: <200401270841.i0R8f9N22377890@wanadoo.be>

--
B. Mercier
<URL:http://users.kbc.skynet.be/fi001005>
<URL:http://web.wanadoo.be/b.mercier>

> Ik zie drie Received: entries
> Is de volgorde te lezen van onder naar boven?

Inderdaad...

> Received: from wanadoo.be (vic.be.wanadoo.com [195.74.212.103])
> by zerodown.tiscali.nl (8.9.3 (WOL 1.2.4)/8.9.3) with ESMTP id
JAA06692
> for <wanaxxxxxx@tempdomain.tiscali-business.be>; Tue, 27 Jan 2004
> 09:41:11 +0100 (MET)

Let erop dat je het ip adres tussen de rechte haken gebruikt, en niet de
domain name. Het ip adres wordt erbij geplakt door de smtp server die de
mail ontvangen heeft. De domain name wordt gekozen door de verzender van die
mail, dus die kan gemakkelijk vervalst worden.

> Wat is de beste methode om hem te verwittigen, via een abuse melding of
> rechtstreeks naar hem?

Ik heb vorige week hier op het werk een aantal virussen van dezelfde persoon
gekregen via mail. Toen koos ik voor een abuse ('t was een telenet klant)
omdat ik het mijn job niet vindt om aan die persoon uit te leggen waar hij
in de fout gaat. Een uurtje later kreeg ik trouwens al antwoord van Telenet
dat ze die persoon gecontacteerd hebben en hem uitgelegd hebben dat hij een
virusscanner moet installeren.

op/on 28-01-2004 10:16 schreef/wrote Bernard Mercier :

> Ik zie drie Received: entries
> Is de volgorde te lezen van onder naar boven?

Ja.

Maar niet verder lezen dan de mailserver die je vertrouwt :die van je (mail)
provider.
Ook niet vertrouwen op de naam die naast het IP gegeven wordt, maar opzoeken
van welke ISP dat IP is.


> Ik veronderstel dat de machine van de From: besmet is of via een open
> relay misbruikt wordt.

De From: emailadres is bij virus/wormmails vals.

Hier komt er vanalles binnen als "onbestelbaar" op mail die ik zogezegd zou
verstuurd hebben.
Niet echt veel kans toe ...



> Die persoon is waarschijnlijk eerder slachtoffer en weet het misschien
> niet.

Die persoon is niet de verzender van de virus/worm mails.
Diens email adres is misbruikt door dat virus (net zoals het mijne)


> Wat is de beste methode om hem te verwittigen, via een abuse melding of
> rechtstreeks naar hem?

je kan niet rechtstreeks met de besmette persoon mailen, je moet dus via
abuse adres horend bij het verzendende IP - of de virus/worm mails dumpen.

Bernard Mercier <mercierb@not.yahoo.this.com> wrote in
news:bv7un8$1uvm$1@nl-news.euro.net:
> ------------------headers----------------
> Received: from zerodown.tiscali.nl (zerodown.tiscali.nl
> [195.241.76.116])
> by pop3-6.worldonline.nl (8.9.3 (WOL 1.2.4)/8.9.3) with ESMTP id
> JAA10226
> for <wanaxxxxxx@pop3-6.worldonline.nl>; Tue, 27 Jan 2004 09:41:13
> +0100 (MET)
> (envelope-from philip.devrieze@econophone.be)
> From: philip.devrieze@econophone.be
> Received: from wanadoo.be (vic.be.wanadoo.com [195.74.212.103])
> by zerodown.tiscali.nl (8.9.3 (WOL 1.2.4)/8.9.3) with ESMTP id
> JAA06692 for <wanaxxxxxx@tempdomain.tiscali-business.be>; Tue, 27
> Jan 2004
> 09:41:11 +0100 (MET)
> X-Envelope-Rcpt: <wanaxxxxxx@tempdomain.tiscali-business.be>
> Received: from econophone.be (cable-195-162-216-74.upc.chello.be
> [195.162.216.74])
> by wanadoo.be (8.12.2/8.12.2) with ESMTP id i0R8f9N22377890
> for <xxxxxxx@wanadoo.be>; Tue, 27 Jan 2004 09:41:09 +0100 (MET)
> Message-Id: <200401270841.i0R8f9N22377890@wanadoo.be>
>

Het enige wat je met zekerheid, over de - al dan niet bewust - verzender
van het virus weet, is dat hij het heeft gestuurd vanop "cable-195-162-
216-74.upc.chello.be". Enkel met die foto, is het voor jou onmogelijk
die persoon te contacteren, dus je zal het aan Chello moeten overlaten.
Normaal zouden die genoeg moeten hebben, met het IP adres, en de
timestamp (Tue, 27 Jan 2004 09:41:09 +0100 (MET) in dit geval) van de
mail.

-Andy

--
Andy De Petter - http://www.techos.be/andy - naql@gunvobk.or (ROT13)
NTA Expert II - Belgacom ANS/NTA/NST - http://www.belgacom.be
"Cogito Ergo Sum - I think, therefore I am."
-- R. Descartes

bmaster wrote:

>>Ik zie drie Received: entries
>>Is de volgorde te lezen van onder naar boven?
>>
>>
>
>Inderdaad...
>
>
>
>>Received: from wanadoo.be (vic.be.wanadoo.com [195.74.212.103])
>> by zerodown.tiscali.nl (8.9.3 (WOL 1.2.4)/8.9.3) with ESMTP id
>>
>>
>JAA06692
>
>
>> for <wanaxxxxxx@tempdomain.tiscali-business.be>; Tue, 27 Jan 2004
>>09:41:11 +0100 (MET)
>>
>>
>
>Let erop dat je het ip adres tussen de rechte haken gebruikt, en niet de
>domain name. Het ip adres wordt erbij geplakt door de smtp server die de
>mail ontvangen heeft. De domain name wordt gekozen door de verzender van die
>mail, dus die kan gemakkelijk vervalst worden.
>
>
>
>>Wat is de beste methode om hem te verwittigen, via een abuse melding of
>>rechtstreeks naar hem?
>>
>>
>
>Ik heb vorige week hier op het werk een aantal virussen van dezelfde persoon
>gekregen via mail. Toen koos ik voor een abuse ('t was een telenet klant)
>omdat ik het mijn job niet vindt om aan die persoon uit te leggen waar hij
>in de fout gaat. Een uurtje later kreeg ik trouwens al antwoord van Telenet
>dat ze die persoon gecontacteerd hebben en hem uitgelegd hebben dat hij een
>virusscanner moet installeren.
>
>
>
>
>
>
Alvast bedankt.

Dit is mijn eerste poging om zo'n situatie te ontleden.
Als ik u goed begrijp zou de abuse, in mijn geval, moeten verstuurd
worden naar chello.be, gezien in de onderste receive entry staat:
(cable-195-162-216-74.upc.chello.be [195.162.216.74])
Het IP adres is inderdaad van chello.be, dat heb ik geverifieerd met WHOIS

(vic.be.wanadoo.com [195.74.212.103]) is de ip van de mail server van
mijn ISP (Wanadoo) en het heeft dus geen zin om een abuse daar heen te
sturen.

--
B. Mercier
<URL:http://users.kbc.skynet.be/fi001005>
<URL:http://web.wanadoo.be/b.mercier>

Andy De Petter wrote:

>Bernard Mercier <mercierb@not.yahoo.this.com> wrote in
>news:bv7un8$1uvm$1@nl-news.euro.net:
>
>
>>------------------headers----------------
>>Received: from zerodown.tiscali.nl (zerodown.tiscali.nl
>>[195.241.76.116])
>> by pop3-6.worldonline.nl (8.9.3 (WOL 1.2.4)/8.9.3) with ESMTP id
>>JAA10226
>> for <wanaxxxxxx@pop3-6.worldonline.nl>; Tue, 27 Jan 2004 09:41:13
>>+0100 (MET)
>> (envelope-from philip.devrieze@econophone.be)
>>From: philip.devrieze@econophone.be
>>Received: from wanadoo.be (vic.be.wanadoo.com [195.74.212.103])
>> by zerodown.tiscali.nl (8.9.3 (WOL 1.2.4)/8.9.3) with ESMTP id
>> JAA06692 for <wanaxxxxxx@tempdomain.tiscali-business.be>; Tue, 27
>> Jan 2004
>>09:41:11 +0100 (MET)
>>X-Envelope-Rcpt: <wanaxxxxxx@tempdomain.tiscali-business.be>
>>Received: from econophone.be (cable-195-162-216-74.upc.chello.be
>>[195.162.216.74])
>> by wanadoo.be (8.12.2/8.12.2) with ESMTP id i0R8f9N22377890
>> for <xxxxxxx@wanadoo.be>; Tue, 27 Jan 2004 09:41:09 +0100 (MET)
>>Message-Id: <200401270841.i0R8f9N22377890@wanadoo.be>
>>
>>
>>
>
>Het enige wat je met zekerheid, over de - al dan niet bewust - verzender
>van het virus weet, is dat hij het heeft gestuurd vanop "cable-195-162-
>216-74.upc.chello.be". Enkel met die foto, is het voor jou onmogelijk
>die persoon te contacteren, dus je zal het aan Chello moeten overlaten.
>Normaal zouden die genoeg moeten hebben, met het IP adres, en de
>timestamp (Tue, 27 Jan 2004 09:41:09 +0100 (MET) in dit geval) van de
>mail.
>
>-Andy
>
>
>
Dank u voor deze verduidelijking.
Ik weet nu wat te doen.

--
B. Mercier
<URL:http://users.kbc.skynet.be/fi001005>
<URL:http://web.wanadoo.be/b.mercier>

Bernard Mercier wrote:

> bmaster wrote:
>

[knip uitleg]

>>
> Alvast bedankt.
>
> Dit is mijn eerste poging om zo'n situatie te ontleden.
> Als ik u goed begrijp zou de abuse, in mijn geval, moeten verstuurd
> worden naar chello.be, gezien in de onderste receive entry staat:
> (cable-195-162-216-74.upc.chello.be [195.162.216.74])
> Het IP adres is inderdaad van chello.be, dat heb ik geverifieerd met
> WHOIS

Ok. Let echter op dat zowel virussen als spam nogal eens headers
toevoegen om het achterhalen te bemoeilijken. Stuur daarom bij een
abuse melding _alle_ headers mee.

>
> (vic.be.wanadoo.com [195.74.212.103]) is de ip van de mail server van
> mijn ISP (Wanadoo) en het heeft dus geen zin om een abuse daar heen te
> sturen.
>

Klopt. Jouw isp zal dan ook niets met de melding kunnen doen.

EJ
--
Remove the obvious part (including the dot) for my email address.
http://www.vanwesten.net for examples of ipf and pf.

> Dit is mijn eerste poging om zo'n situatie te ontleden.
> Als ik u goed begrijp zou de abuse, in mijn geval, moeten verstuurd
> worden naar chello.be, gezien in de onderste receive entry staat:
> (cable-195-162-216-74.upc.chello.be [195.162.216.74])
> Het IP adres is inderdaad van chello.be, dat heb ik geverifieerd met WHOIS
>
> (vic.be.wanadoo.com [195.74.212.103]) is de ip van de mail server van
> mijn ISP (Wanadoo) en het heeft dus geen zin om een abuse daar heen te
> sturen.

Inderdaad, mijn excuses, ik had de verkeerde received-lijn genomen :-)

bmaster wrote:

>>Dit is mijn eerste poging om zo'n situatie te ontleden.
>>Als ik u goed begrijp zou de abuse, in mijn geval, moeten verstuurd
>>worden naar chello.be, gezien in de onderste receive entry staat:
>>(cable-195-162-216-74.upc.chello.be [195.162.216.74])
>>Het IP adres is inderdaad van chello.be, dat heb ik geverifieerd met WHOIS
>>
>>(vic.be.wanadoo.com [195.74.212.103]) is de ip van de mail server van
>>mijn ISP (Wanadoo) en het heeft dus geen zin om een abuse daar heen te
>>sturen.
>>
>>
>
>Inderdaad, mijn excuses, ik had de verkeerde received-lijn genomen :-)
>
>
>
>
Geen probleem, ik had het nogal snel door.

--
B. Mercier
<URL:http://users.kbc.skynet.be/fi001005>
<URL:http://web.wanadoo.be/b.mercier>