Phishing?

[Verwijderd]

Beste tweakers,

Een van onze klanten klaagt dat hij vanaf gisteren ineens vele van deze e-mailtjes krijgt:

code:

Van: Systeembeheerder
Verzonden: donderdag 14 juli 2005 11:58
Aan: [e-mail]
Onderwerp: Onbezorgbaar: Your password has been successfully updated

Uw bericht heeft enkele of alle geadresseerden niet bereikt.

      Onderwerp:        Your password has been successfully updated

      Verzonden:        14-7-2005 11:57

De volgende geadresseerde(n) zijn niet bereikt:

      [e-mail] op 14-7-2005 11:57

            De organisatie waarnaar dit bericht is verzonden, heeft aangegeven dat de e-mailaccount niet bestaat. Controleer het e-mailadres of neem rechtstreeks contact op met de geadresseerde om na te gaan hoe het e-mailadres luidt.

            < psmtp01.wxs.nl #5.1.1>

Bij "De volgende geadresseerde(n)" staat steeds een andere naam. Ik dacht meteen aan een Phishing e-mail, verzonden van een of andere idioot die graag wil dat onze klant op een linkje klikt of een scriptje start, etc.

Ik vind het alleen eerg raar dat de afzender de systeembeheerder blijkt te zijn, wat aanduid dat de e-mail volgens mij van binnen het domein is verzonden. Er draait McAffee Antivirus op de server en alle clients, deze is volledig bijgewerkt. De server is SBS2003 en de clients draaien Outlook 2003. De server krijgt e-mail aangeleverd door PopBeamer (uit POP e-mail boxen).

Als jullie deze e-mail zo zien, lijkt het dan alsof onze klant toch is geinfecteerd en als een idioot allerlei e-mail aan het spammen is of is het gewoon een toevallige phishing attack op deze klant?

[FireWood]

Staat er misschien wat vreemd in de hele header van de mail?

Misschien dat je die hier even kan posten?

[Verwijderd]

Hmmm..., helaas heeft de klant alleen 4 mailtjes doorgestuurd, niet als attachment. Ik moet er morgen heen dus wil mij voorbereiden . Wel zijn de onderwerpen en de personen steeds anders, bijvoorbeeld "Your Account is Suspended For Security Reasons" en "Warning Message: Your services near to be closed.". Allemaal van "Systeembeheerder".

Erg vreemd dus allemaal, ook omdat "Systeembeheerder" in het nederlands staat en de overige inhoud van de e-mail allemaal engelstalig is. Ik hoop niet dat hun server als spam server staat te functioneren. Iemand anders nog tips hoe ik dat kan checken / stoppen?

[F_J_K]

Zonder headers is het lastig. Maar inderdaad is dat een optie. Of dat er iemand besmet is met een virus en met toevallig dat adres rondmailt. Afhankelijk van de headers dus

[mindcrash]

Exchange converteerd automatisch SMTP adressen, zoals [e-mail], naar MAPI adressen op het domein (in jouw geval dus Systeembeheerder). Het kan dus best zo zijn dat dit bericht via SMTP jouw domein is binnengekomen en dat een of andere phisher/worm als afzender [e-mail] heeft gebruikt in de phishing/infectie run (en daarnaast dus random user adressen in het TO: veld en de RCPT TO: header heeft ingevuld).

Als die SBS setup trouwens Nederlands is lijkt het me ook trouwens vrij normaal dat er Systeembeheerder staat i.p.v. Administrator vanwege internationalization...als het tenminste een Nederlandstalige SBS server is. Dan is Administrator ineens Systeembeheerder.

[ Voor 75% gewijzigd door mindcrash op 14-07-2005 21:26 ]

[rvanlooijen]

Don't worry (of juist wel), dit is "gewoon" just-another wormpje; nml MyTob...

Heb er zelf ook al een complete invase van gehad, het gebruikt idd een fake afzender adres binnen het domein van de geaddresseerde. Goed, het spul wordt iig opgepikt door elke zichzelf respecterende antivirus, dus als 't goed is zouden die mailtjes je server niet eens langs moeten komen

[mrFoce]

Dit is inderdaad gewoon een 'wormpje' die het email adres ergens vandaan heeft 'gespiderd' (of iemand die hem\haar in zijn contact lijst heeft/had in bv outlook was ooit geinfecteerd) en is waarschijnlijk in staat om 'emails' te scannen en woorden hiervan op te nemen..

Laatst was er bijvoorbeeld een 'worm' die mailtjes verstuurden in tig talen
Zulke mailtjes moet je gewoon verwijderen (blacklisten) en geen aandacht geven.

[Verwijderd]

Tnx allemaal, dit klinkt heel geruststellend. Maar toch wel raar dat het ineens zo erg raak is (helemaal vervelend dat het net 1 dag gebeurd nadat wij hier beheer hebben uitgevoerd ).

[ Voor 61% gewijzigd door Verwijderd op 14-07-2005 22:40 ]

[JoetjeF]

Zie (oa) hier voor meer informatie over de worm. Lijkt wel of het vooral in Nederland voorkomt. Ben het tenminste nog niet in een ander land tegengekomen, alleen op onze Nederlandse vestigingen.

[ Voor 37% gewijzigd door JoetjeF op 14-07-2005 22:45 ]

[Verwijderd]

JoetjeF schreef op donderdag 14 juli 2005 @ 22:44:
Zie (oa) hier voor meer informatie over de worm. Lijkt wel of het vooral in Nederland voorkomt. Ben het tenminste nog niet in een ander land tegengekomen, alleen op onze Nederlandse vestigingen.

?? Dan zijn ze dus wel geinfecteerd. Wel vreemd dat McAffee dan ook nog helemaal niets ziet. We gaan in elk geval kijken of die gegevens uit de URL overeenkomen met die op de werkstations. Tnx!

[frickY]

Ik krijg deze mailtjes ook al enige tijd binnen op mn chello-emailadres.
Is gewoon een spam/phising run met een gespoofde afzender..


Ik krijg deze dus uit naam van [e-mail] Staat een blaat-verhaal in dat mn wachtwoord op mijn verzoek is aangepast, en een verwijzing naar de attachment welke ik maar even moet lezen. De attachment bevat het Generic Malware.a!zip-virus.
Blijkbaar is een dergelijke mail 'ondeliverable' gebleeken, en komt hij dus uit bij de domein-beheerder/postmaster.

[ Voor 59% gewijzigd door frickY op 17-07-2005 11:28 ]