Ip adres uit email halen (geen X-originating-IP in header)

[freekdl]

Er is via een zoekerjessite een oplichter actief die de gegevens van onze winkel op zijn facturen zet.
Ik heb al online aangifte gedaan, maar krijg geen reactie, dus probeer ik zelf maar zoveel mogelijk te doen.
Ik heb me voorgedaan als mogelijke klant en ben intussen met de dader aan het mailen. Mijn plan was om met kopieën van de mails inclusief header naar de politie te gaan en daarna met die verklaring naar zijn ISP te gaan om zijn adres te krijgen, zodat ik hem kan dagvaarden.

Alleen, ik vind nergens een ip adres in de email headers terug. Ik heb een hotmail account en bij vele mails vind ik het IP adres achter de code X-originating-IP, maar bij deze mail vind ik dat nergens terug. Ik versta uit de header dat de mail verzonden is via Yahoo webmail.

Ik hoop dat iemand mij kan helpen de informatie te achterhalen, want helaas gaat deze oplichter zeer professioneel te werk. Ik zie dagelijks gevallen van internetfraude op zoekertjessites, en meestal kan een 15
jarige ze eruit halen, maar dit is een open val voor vele mensen. Ik vind het enorm jammer dat politie hier niet meer aan doet, want mensen worden vaak voor grote bedragen opgelicht.

Deel uit de header:

X-Message-Delivery: Vj0xLjE7dXM9MDtsPTE7YT0wO0Q9MDtTQ0w9NA==

X-Message-Status: n

X-SID-PRA: xxxxxxxxxxxxxxxx <[e-mail]>

X-AUTH-Result: NONE

X-Message-Info: 6sSXyD95QpU513woPO3JxPHdw5m3bD/KU7drNxOLmzoIKMR4r6Yq4aQhVjzvIC2QGM17vH1xMKdSyUHj4mLv1lLAZ/oytEP4/dPisBjrdzo=

Received: from web121508.mail.ne1.yahoo.com ([98.138.90.111]) by COL0-MC1-F1.Col0.hotmail.com with Microsoft SMTPSVC(6.0.3790.4675);

Sun, 19 Dec 2010 09:48:31 -0800

Received: (qmail 24511 invoked by uid 60001); 19 Dec 2010 17:48:31 -0000

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=yahoo.com; s=s1024; t=1292780911; bh=JM5+EzE3B9D+GkRer1AJel2jWRSoLhyyT59pF8NXVcI=; h=Message-ID:X-YMail-OSG:Received:X-Mailer:References:Date:From:Subject:To:In-Reply-To:MIME-Version:Content-Type; b=HZ1gmmTCG4AU7KqJiZb2LephvLdr3lr05t+Dx200aAAjIEKL/fqBfhnEOVKJxGG6w7GDDDGXdy2gMiObG4ZRPeOOwy742H6usp0kC1XTKqDGeg2yNB23J2sbBXRaWPjFTV/y5XLnP0PaMaJBdaAT9CMbYUT80k5eJnzCBw88XKc=

DomainKey-Signature:a=rsa-sha1; q=dns; c=nofws;

s=s1024; d=yahoo.com;

h=Message-ID:X-YMail-OSG:Received:X-Mailer:References:Date:From:Subject:To:In-Reply-To:MIME-Version:Content-Type;

b=oxGvOvW3AUBg4/RgRrQSlh/Dggcqf/AA/icWkT8VXgzIYhKxBKEF8reYM9Wkj8m1KQ1h5S1WrgKdpz1fspKISxXEKgX5jV+IoXyhzfqrFLZm2tDkWGW3kBo7hr+5RkkSnA0LIoJXyme+sTlqgcxmQFWcGhk36G3Po8IaSXkPY6U=;

Message-ID: <[e-mail]>

[johnkeates]

Neem contact op met Yahoo.

[Sefyu]

Kan je niet een transparante png van 1x1px uploaden naar je host en die png vervolgens in je mail zetten? Je kan dan vervolgens in de logs van je host kijken wie die png heeft gedownload.

[freekdl]

Ik denk niet dat Yahoo gegevens verstrekt zonder politiebevel..

Mooi bedacht hoor, die truc met de .png! Ik heb 1 gemaakt en die vervolgend op een website van me gezet,
alleen, hoe krijg ik dit als bijlage in een mail die ik via hotmail verstuur? Als ik op bijlage klik kan ik enkel kiezen uit bestanden op mijn pc.

[ Voor 52% gewijzigd door freekdl op 19-12-2010 21:58 ]

[allure]

een afbeelding in je HTML-mail verwerken?

[ Voor 6% gewijzigd door allure op 19-12-2010 22:02 ]

[freekdl]

*Heeft nu pas door dat men in hotmail html kan selecteren*

[Skire]

Mooi plan dit! Succes ermee en hou ons op de hoogte zou ik zeggen

[freekdl]

The trap is set! Enkel nog 1 vraagje, als hij de mail opent, download hij dan automatisch die .png of wordt dat gedaan door de mailserver van hotmail?

Ik heb het even getest door een mail naar mezelf te sturen, maar ik zie nog niets nieuw in mijn logs, ik denk dat ze maar om de zoveel uur of 1 x per dag ververst worden.

[pennywiser]

freekdl schreef op zondag 19 december 2010 @ 22:53:
The trap is set! Enkel nog 1 vraagje, als hij de mail opent, download hij dan automatisch die .png of wordt dat gedaan door de mailserver van hotmail?

Ik heb het even getest door een mail naar mezelf te sturen, maar ik zie nog niets nieuw in mijn logs, ik denk dat ze maar om de zoveel uur of 1 x per dag ververst worden.

Dat ligt eraan of hij een client- of webbased mail programma gebruikt. Een een goede log daemon logt alle 'actie'.

[freekdl]

pennywiser schreef op zondag 19 december 2010 @ 23:00:
[...]

Dat ligt eraan of hij een client- of webbased mail programma gebruikt. Een een goede log daemon logt alle 'actie'.

Ik veronderstel dat hij Yahoo gebruikt, aangezien de mail van hun servers kwam. Dan zal dit trucje waarschijnlijk geen effect hebben?

Anderzijds, als ik een mail verstuur met hotmail geeft die wel degelijk mijn IP adres mee..

[joopv]

Veel mail clients blokkeren automatisch downloaden van plaatjes. Je krijgt dan een placeholder te zien.

"right-click here to download pictures. to help protect your privacy, outlook prevented automatic download of this picture from the internet."

Is vaak een default installatie en als iemand op zijn privacy gesteld is heeft hij dat vast aan staan.

[TigerMooD]

Wat je dan misschien beter kunt doen is een aan zijn aanbod gerelateerde vraag stellen met een link naar een bepaald plaatje. (Je wil bijvoorbeeld weten of de aanbieding die hij doet zwembad X is en je zet een link in de mail die naar een plaatje van bijvoorbeeld zwembad X linkt, uiteraard host jij dat plaatje)

Als hij jou vraag wil beantwoorden, moet hij wel op die link klikken (die heb jij uiteraard gehost met een goeie log-daemon), die link wordt dan door zijn webbrowser geopend en je hebt zijn echte IP.

[SinergyX]

TigerMooD schreef op zondag 19 december 2010 @ 23:16:
Als hij jou vraag wil beantwoorden, moet hij wel op die link klikken (die heb jij uiteraard gehost met een goeie log-daemon), die link wordt dan door zijn webbrowser geopend en je hebt zijn echte IP.

Of hij is zo slim, dat hij ook nog een proxy gebruikt

[begintmeta]

freekdl schreef op zondag 19 december 2010 @ 23:07:
.... Ik veronderstel dat hij Yahoo gebruikt, aangezien de mail van hun servers kwam. Dan zal dit trucje waarschijnlijk geen effect hebben?

Anderzijds, als ik een mail verstuur met hotmail geeft die wel degelijk mijn IP adres mee..

Gek, er lijken wat punten in de headers te missen, afaik moet normaalgesproken na de Message-ID nog het een en ander volgen, onder andere nog een 'Received', daar zou je het IP van de verzender terug moeten kunnen vinden.

[TigerMooD]

Weet je dat heel zeker, volgens mij komt het vaak voor dat webmail clients geen verdere info wegsturen dan alleen het IP van de webmail server.

[freekdl]

Ik heb het net even getest en yahoo enkel de tekst weer die geassocieerd wordt met het plaatje, en niet het plaatje zelf. Jammer, want ik vond het een geniaal idee! Dat trucje is of was waarschijnlijk geliefd bij spammers en dergelijke..

Maar zoals tigermood aangaf kan het ook anders, aangezien die persoon macbook pro's aanbiedt, vraag ik hem gewoon even of hij de macbook afgebeeld op de volgende link niet kan leveren

Dan maak ik ineens een mooi plaatje dat hem de stuipen op het lijf jaagt

[ Voor 38% gewijzigd door freekdl op 19-12-2010 23:28 ]

[TigerMooD]

Ik zou het wel gewoon echt proberen te houden anders ruikt ie misschien lont en vind je em niet meer omdat hij ertussenuit is geknepen

[ Voor 15% gewijzigd door TigerMooD op 19-12-2010 23:28 ]

[begintmeta]

TigerMooD schreef op zondag 19 december 2010 @ 23:25:
Weet je dat heel zeker, volgens mij komt het vaak voor dat webmail clients geen verdere info wegsturen dan alleen het IP van de webmail server.

Ik weet het zeker. Net nog even wat gegoogled: meer info.

You are looking for a line that looks something like Received: from [123.456.78.91] by . . .

en als ik me niet vergis zijn daar twee exemplaren van in Yahoo-webmailverstuurde mail.

[ Voor 8% gewijzigd door begintmeta op 19-12-2010 23:31 ]

[TigerMooD]

je hebt gelijk, blijkbaar is de client dan niet helemaal goed geconfigged, of hotmail filtert die gegevens eruit...
wel raar trouwens.

[begintmeta]

Volgens mij kan je ook in hotmail het ruwe mailtje bekijken, inclusief alle headers.

freekdl, kan je eens echt alle headers posten? Als dat alles is, hoe heb je de headers opgeroepen?

[freekdl]

Misschien nog interessant om te vermelden, de eerste mail die ik van hem kreeg was volgens hotmail spam.
Het zou me dus niet verwonderen dat er foutieve dingen in de header staan, spammers kunnen zulke dingen vervalsen, toch?

En tigermood, ook al weet hij dat ik hem op het spoor ben, veel kan hij niet meer doen he. Al neemt hij een andere provider, men kan nog steeds opzoeken bij wie het ip adres hoorde.

Ik heb trouwens een Nederlands rekeningnummer van hem ook, maar ik wil zo sterk mogelijk staan.

@begintmeta hoe komt het dan dat hotmail wel ip's meezendt? Hotmail is toch ook webbased of niet?
@begintmeta eerst het bericht openen in hotmail, dan blauwe pijltje rechtsboven, berichtbron meegeven

[ Voor 159% gewijzigd door freekdl op 19-12-2010 23:40 ]

[begintmeta]

freekdl schreef op zondag 19 december 2010 @ 23:36:
...
@begintmeta hoe komt het dan dat hotmail wel ip's meezendt? Hotmail is toch ook webbased of niet?

Ik weet niet precies wat je bedoelt. Alle grote webmailers zenden voor zover ik weet het IP van de http-verzender mee, ook Yahoo.

Kan je niet alle headers even posten? (haal de IPs/hostnamen maar even weg eventueel)

[begintmeta]

freekdl schreef op zondag 19 december 2010 @ 23:36:
...
Received: from [188.203.19.185] by web121508.mail.ne1.yahoo.com via HTTP; Sun, 19 Dec 2010 09:48:30 PST
...

Dat is 'm. (of je er veel me opschiet moet nog blijken natuurlijk, het is een internetcafé-achtig iets...)

[ Voor 16% gewijzigd door begintmeta op 19-12-2010 23:44 ]

[freekdl]

Heb van de laatste mail de header geopend en alles in een tekstbestand gezet omdat het zoveel is.
Je kan het hier (verwijderd) downloaden.

[ Voor 16% gewijzigd door freekdl op 20-12-2010 00:28 ]

[SmiGueL]

Toevallig deze site al gezien?
http://www.opgelichtopinternet.nl/cgi-bin/yabb2/YaBB.pl?num=1291543894/45?
(Zie de namen icm het IP-adres)

Zeggen die namen je wat?

[ Voor 24% gewijzigd door SmiGueL op 19-12-2010 23:52 ]

[ItMeAedri]

begintmeta schreef op zondag 19 december 2010 @ 23:40:
[...]

Dat is 'm. (of je er veel me opschiet moet nog blijken natuurlijk, het is een internetcafé-achtig iets...)

Is helaas van yahoo

[begintmeta]

Zhalix schreef op zondag 19 december 2010 @ 23:48:
[...]

Is helaas van yahoo

Wat is van yahoo?


inetnum: 188.203.19.184 - 188.203.19.191
descr: Abesha Telecom
descr: ROTTERDAM

person: F Zxxxxxx
e-mail: [e-mail]
phone: +3110xxxxxxx

[ Voor 14% gewijzigd door begintmeta op 19-12-2010 23:53 ]

[freekdl]

@begintmeta bedankt voor het speurwerk! Mag ik vragen hoe je weet dat het iets internetcafé-achtigs is?
@smiguel nee, maar wij zijn zelf ook niet opgelicht, ze misbruiken alleen de naam van onze winkel en onze informatie. Toch erg bedankt voor deze informatie, een zeer mooie aanvulling! Aangezien er al enkele processen verbaal opgemaakt zijn voor dit ip adres is de kans groter dat de politie in actie schiet.

De enige naam en nummer die ik uit mails heb is:

Magazijnmanager
Hans Heugen
0031634457912


begintmeta, kan je mij die gecensureerde informatie even DM'en? De site die ik gebruik op IP adressen te tracen geeft geen naam, nummer of email adres weer. Ik zou die persoon morgen graag een belletje geven..

[ Voor 17% gewijzigd door freekdl op 20-12-2010 00:00 ]

[begintmeta]

freekdl schreef op zondag 19 december 2010 @ 23:55:
@begintmeta bedankt voor het speurwerk! Mag ik vragen hoe je weet dat het iets internetcafé-achtigs is?

De naam (en ook waarvoor het IP wordt gebruikt) geeft het al weg dat het zo'n belhuis/internetcafé zal zijn, net even per google het volgende gevonden:

...
begintmeta, kan je mij die gecensureerde informatie even DM'en? Kan ik die persoon morgen even opbellen.

Komt eraan, als je dergelijke dingen zelf zou willen vinden kan je altijd whois gebruiken.

[ Voor 4% gewijzigd door begintmeta op 20-12-2010 00:04 ]

[SmiGueL]

Hier een Street View foto van deze toko volgens Google..
klik!
@ hierboven ik was eerder!

Vrees dat bellen niet zo heeeel veel zin zal hebben dus, maar je kunt het natuurlijk altijd proberen


Je kan natuurlijk (buiten) bij die toko wachten (op tijden waarop hij normaal ook reageert op je mails)
En evt. via je telefoon een mail sturen.
Als die gast dan reageert (push mail heeft enkele seconden delay) loop je die toko binnen, en weet je wie er vanaf dat IP adres jou die mails aan het versturen is..
Film (met je telefoon ofzo) vanaf dat moment alles, zodat je die kerel op heterdaad kan betrappen
(ervan uitgaand dat het iemand in het internetcafegedeelte is, en niet in het huis zelf..)

[ Voor 176% gewijzigd door SmiGueL op 20-12-2010 00:27 ]

[begintmeta]

offtopic:
Vroeg me af wat Abesha (uit de bedrijfsnaam horend bij het IP) is, vermoedelijk zal de starter van het bedrijfje wel (H)abesha zijn.
Wikipedia: Habesha people.

@hierboven, je link was er eerder, maar ik wilde het plaatje posten en mijn eerste url werkte niet

[ Voor 19% gewijzigd door begintmeta op 20-12-2010 00:14 ]

[joopv]

SmiGueL schreef op maandag 20 december 2010 @ 00:03:
Als die gast dan reageert (push mail heeft enkele seconden delay) loop je die toko binnen, en weet je wie er vanaf dat IP adres jou die mails aan het versturen is..
Film (met je telefoon ofzo) vanaf dat moment alles, zodat je die kerel op heterdaad kan betrappen
(ervan uitgaand dat het iemand in het internetcafegedeelte is, en niet in het huis zelf..)

Dan ga je er wel van uit dat hij steeds dezelfde internet shop gebruikt... Je zult op het laatste moment nogmaals het ip adres moeten controleren.
Verder kan er nog een PAT routerje aanwezig zijn zodat er mogelijk meerdere mensen tegelijk op hetzelfde publieke ip adres aan het internetten zijn. (in dat netwerk zijn maar 5 publieke adressen 188.203.19.185-190 beschikbaar)

Je zou gewoon even als klant die shop binnen kunnen stappen en een ipconfig /all op iedere pc doen.

[begintmeta]

freekdl, ben je met bellen of bij de politie nog verder gekomen?

[CAPSLOCK2000]

freekdl schreef op zondag 19 december 2010 @ 23:36:
Ik heb trouwens een Nederlands rekeningnummer van hem ook, maar ik wil zo sterk mogelijk staan.

Ken je de 'ING truuk' om een naam bij dat nummer te krijgen?

(als ING klant: ga naar mijn ing, kies voor geld overmaken, vul het rekeningnummer in en verstuur, de website zal nu de naam van de eigenaar van de rekening invullen, vervolgens _niet_ bevestigen ! )

[Anoniem: 379651]

CAPSLOCK2000 schreef op donderdag 23 december 2010 @ 00:32:
[...]


Ken je de 'ING truuk' om een naam bij dat nummer te krijgen?

(als ING klant: ga naar mijn ing, kies voor geld overmaken, vul het rekeningnummer in en verstuur, de website zal nu de naam van de eigenaar van de rekening invullen, vervolgens _niet_ bevestigen ! )

Werkt alleen als het een ING rekeningnummer is.

[Olaf van der Spek]

begintmeta schreef op zondag 19 december 2010 @ 23:39:
Ik weet niet precies wat je bedoelt. Alle grote webmailers zenden voor zover ik weet het IP van de http-verzender mee, ook Yahoo.

Gmail niet. Qua privacy vind ik het beter als het niet wordt meegestuurd.

[CAPSLOCK2000]

Anoniem: 379651 schreef op donderdag 23 december 2010 @ 00:34:
[...]

Werkt alleen als het een ING rekeningnummer is.

Dat was me nog niet opgevallen, maar het klinkt wel logisch.
Gelukkig (?) is ING de grootste bank van Nederland, dus dat lijkt me het proberen waard.

[begintmeta]

Olaf van der Spek schreef op vrijdag 24 december 2010 @ 00:31:
...
Gmail niet. Qua privacy vind ik het beter als het niet wordt meegestuurd.

Klopt inderdaad.

[Equator]

Kom op mensen: Digitale opsporing is leuk, maar niet op GoT. Vooral niet als er namen en telefoonnummers geplaatst gaan worden.