Waar komt e-mail vandaan :? ???

[MRic3]

Waar komt e-mail toch vandaan ?

Ik zit met een klein probleempje. De afgelopen maanden heb ik 3 mailtjes met attachments gekregen zonder afzender en zonder subject met een virus erbij. Gelukkig vangt Norton het allemaal goed op dus daar heb ik geen problemen mee (ik vind het zelfs leuk om te zien :):):)).
Ik wil weten van wie ze afkomen want ZIJ/hij zal het (hoogstwaarschijnlijk) niet weten dat ze het sturen want het zijn wormen (2x W95.hybris.worm en 1x W95.Hybris.Gen.dr) .

Ik heb al mijn e-mail gescaned op diverse dingen die ik vond in de headers van de onbekende meeltjes maar kon geen overeenkomsten vinden...

EN NU??? Wie kan mij een beetje op weg helpen..
wie of welke provider kan ik waarschuwen, vragen stellen... HELP :?:?

Alvast bedankt

[quote]
-------- Meeltje nr 1 header met attachment DBODGJDB.EXE ------------------------
Return-Path: <>
Received: from s002.rdweb.nl ([212.204.247.51]) by amsmta05-svc.chello.nl
(InterMail vK.4.02.00.10 201-232-116-110 license 85b07e7cd9378159aa6ecc9a5634d971)
with ESMTP
id <[e-mail]>
for <mijn email adres>; Sun, 4 Feb 2001 11:11:18 +0100
Received: from NONE (43dyn221.dh.casema.net [213.17.48.221])
by s002.rdweb.nl (8.10.1/8.10.1) with SMTP id f14A9E210511
for <mijn forwarde mailadres>; Sun, 4 Feb 2001 11:09:14 +0100
Date: Sun, 4 Feb 2001 11:09:14 +0100
Message-Id: <[e-mail]>
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="--VEPAZGH"

-------- Meeltje nr 2 header met attachment ELCEHAEL.EXE ------------------------
Return-Path: <>
Received: from s002.rdweb.nl ([212.204.247.51]) by amsmta05-svc.chello.nl
(InterMail vK.4.02.00.10 201-232-116-110 license 664b55fc128b69b0c92b08fcc338df83)
with ESMTP
id <[e-mail]>
for <mijn email adres>; Sat, 3 Mar 2001 23:26:46 +0100
Received: from oemcomputer ([62.59.74.9])
by s002.rdweb.nl (8.10.1/8.10.1) with SMTP id f23MOTh07732
for <mijn forward e-mail adres>; Sat, 3 Mar 2001 23:24:29 +0100
Date: Sat, 3 Mar 2001 23:24:29 +0100
Message-Id: <[e-mail]>
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="--VEIJKDIZ0HYFWTANKLY3O5EJSLAJ8H"

-------- Meeltje nr 3 header met attachment GJPAOFGJ.EXE ------------------------
Return-Path: <>
Received: from racer ([62.251.55.158]) by amsmta06-svc.chello.nl
(InterMail vK.4.03.02.00 201-232-124 license 664b55fc128b69b0c92b08fcc338df83)
with SMTP id <20010307152046.EVHD495.amsmta06-svc@racer>
for <mijn e-mail adres>; Wed, 7 Mar 2001 16:20:46 +0100
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="--VEXAFCHMZGTMV4LQ3"
Message-Id: <20010307152046.EVHD495.amsmta06-svc@racer>
Date: Wed, 7 Mar 2001 16:20:56 +0100
[\quote]

[jelmervos]

Jou IP is zeker: 212.204.247.51 ?

E-mail 1 komt vanaf: 43dyn221.dh.casema.net (213.17.48.221)

E-mail 2 komt vanaf: versatel.net (62.59.74.9)

E-mail 3 komt vanaf: kpn.hccnet.nl (62.251.55.158)


Schiet je hier nou iets mee op???

[jelmervos]

E-mail 1:

code:

Interesting ports on 43dyn221.dh.casema.net (213.17.48.221):
Port    State       Protocol  Service
21      open        tcp        ftp
22      open        tcp        ssh
23      open        tcp        telnet
79      open        tcp        finger
80      open        tcp        http
113     open        tcp        auth
443     open        tcp        https
513     open        tcp        login
514     open        tcp        shell
5432    open        tcp        postgres
12345   filtered    tcp        NetBus
12346   filtered    tcp        NetBus

[jelmervos]

E-mail 2:

code:

WARNING:  RST from port 139 -- is this port really open?
WARNING:  RST from port 139 -- is this port really open?
WARNING:  RST from port 139 -- is this port really open?
Insufficient responses for TCP sequencing (0), OS detection will be MUCH less reliable
WARNING:  RST from port 139 -- is this port really open?
WARNING:  RST from port 139 -- is this port really open?
WARNING:  RST from port 139 -- is this port really open?
Insufficient responses for TCP sequencing (0), OS detection will be MUCH less reliable
Interesting ports on  (62.59.74.9):
Port    State       Protocol  Service
139     open        tcp        netbios-ssn
12345   filtered    tcp        NetBus
12346   filtered    tcp        NetBus

[jelmervos]

E-mail 3:

code:

Starting nmap V. 2.07 by Fyodor ([e-mail], www.insecure.org/nmap/)
Nmap run completed -- 1 IP address (0 hosts up) scanned in 1 second

[MRic3]

He jelmervos,

bedankt voor de moeite maar ik kan daar verder weinig mee... het nadeel is dat ik er niet zo heel veel verstand van heb.

Jou IP is zeker: 212.204.247.51 ?

nee, mijn IP adres is 212.187.92.143

E-mail 1 komt vanaf: 43dyn221.dh.casema.net (213.17.48.221)
E-mail 2 komt vanaf: versatel.net (62.59.74.9)
E-mail 3 komt vanaf: kpn.hccnet.nl (62.251.55.158)

En dit bewijst dat het van verschillende personen afkomt dus?Ik heb maar 1 iemand die ken die met HCCnet werkt dus dat zou vrij simplel zijn.... misschien te simpel
En die anderen nou?

[jelmervos]

Idd, misschien heb je weinig aan die scans, maar soms zit er wat leuks tussen.

Ik denk dat je gewoon het beste shift+delete kan doen met die e-mails.

Gewoon niks van aantrekken.

[MRic3]

Op donderdag 08 maart 2001 14:28 schreef jelmervos het volgende:
Idd, misschien heb je weinig aan die scans, maar soms zit er wat leuks tussen.

Ik denk dat je gewoon het beste shift+delete kan doen met die e-mails.

Gewoon niks van aantrekken.

soms zit er wat leuks tussen, in dit geval weinig maar dat had ik al gevonden (zoiets). Ja, Deleten is het makkelijkste... Maar waarom altijd het makkelijkste doen . Ik ben nu gewoon nieuwsgierig wat iemand hiermee kan doen...

[localhost]

Tip:
Copy & Past je volledige mailtjes inclusief headers in de de webpagina van SpamCop.

Hier kan je je aanmelden. Je krijgt binnen enkele seconden een WWW-link in je mailbox waarmee je de Copy & Paste actie can uitvoeren.