[Outlook] Ineens plat gespammed? Virus?

[Shifty-PK]

Hallo,

Toen ik vanochtend mijn mail checkde was er niets aan de hand, toen ik een paar uur later in de middag mijn mail checkde zat mijn outlook ineens vol met ruim 20 mails, veelal dezelfde, altijd met vage attachement(heb ze niet geopend). Nu krijg ik er elk uur 3 tot 10 binnen

De mails zien er zo uit:

Subject: urgent

Hi

Sorry, I forgot to send an important
document to you in that last email. I had an important phone call.
Please checkout attached doc file when you have a moment.

Best Regards

subject: Att

Hello,
Sorry, I forgot to attach the new contact information.
Please view the attached (.pdf) contact sheet.
Sincerely,
User

Subject: Money

I am responding to your last email in the attached file.
I had a delivery problem with your inbox, so maybe you'll receive this now.

Subject: text

Hello,
What version of windows you are using?
This last document I received from you came out weird.
Please see the attached word file and resend the file to me.
Many thanks,
User

Enz...

Alle attachemts zijn zip bestanden van 0 bytes: zip.zip data.zip docs.zip
Ik krijg ook veel dezelfde berichten van verschillende afzenders.

1 echte persoon reagerde op een of andere manier op deze emails:

Ik weet niet of je he tweet maar je bent virussen an het versturen.
Controleer je systeem op virussen en verwijder ze.

Als we er nog een krijgen stuur ik een abuse aan Demon.

Groet,

Richard (*Censuur*)


-----Original Message-----
From: [e-mail] [mailto:[e-mail]]
Sent: dinsdag 27 januari 2004 14:31
To: [e-mail]
Subject: Money

I am responding to your last email in the attached file.
I had a delivery problem with your inbox, so maybe you'll receive this now.

Aan de hand hiervan ging ik er vanuit dat ik een virus had. Maar er kan niets gevonden worden met mijn mcafee virus scan+nieuwste updates(dat's).

Wat ik wel heb is een kerio mailserver, draaiend op win 2000 prof server. In de mail log staat niets over verzonden mail of spam/virus.

Mijn vraag dus:
Herkend iemand deze soort emails/virussen/spam en weet hoe kom ik er weer vanaf kom? Het is echt heel vaag want het is van start gegaan zonder dat ik thuis was en alleen de mailserver aan stond.

Ohja, er wordt gerypled op het email adres: [e-mail], maar dit email adres is in geen enkele outlook ingesteld. Maar omdat ik alles binnen krijg op mijn email adres wat eindigd op *@shifty.demon.nl krijg ik ze zo binnen.

Pleeease help

[Verwijderd]

Wat ik je wel kan adviseren is om je mailserver even uit de lucht te halen om te voorkomen dat je op een blacklist komt. Heb ik zelf een tijdje geleden gehad en dat is niet fijn.

Probeer naast McAfee virus ook eens te scannen met een ander AV programma (als je daartoe beschikking hebt, zie ook hier en hier). Ook zijn er gratis programma's die op Spyware scannen zoals bijvoorbeeld Ad-Aware.

[alt-92]

....of je bent geharvest en je adres wordt gebruikt als afzender he...

Maar goed.

Zonder headers kan je eigenlijk niks beginnen. Post die eerst maar eens.

[Shifty-PK]

Headers:

Return-Path: <[e-mail]>
X-Envelope-To: [e-mail]
X-Spam-Status: No, hits=2.8 required=5.0
tests=INVALID_DATE,MIME_MISSING_BOUNDARY,NO_REAL_NAME,
RCVD_NUMERIC_HELO
X-Spam-Level: **
Return-Path: <[e-mail]>
Received: from store-21.mail.nl.demon.net by mailstore for [e-mail]
id 1CMviH-000Ls1-4B-000Ls3; Wed, 27 Oct 2004 21:52:13 +0000
Received: from incoming-22.mail.nl.demon.net ([194.159.73.162]:2984)
by store-21.mail.nl.demon.net with esmtp (Exim 4.24)
id 1CMviH-000Ls1-4B
for [e-mail]; Wed, 27 Oct 2004 21:52:13 +0000
Received: from cp283269-a.gelen1.lb.home.nl ([84.31.200.33]:3055 helo=127.0.0.1)
by incoming-22.mail.nl.demon.net with esmtp (Exim 4.24)
id 1CMviF-000F4T-NC
for [e-mail]; Wed, 27 Oct 2004 21:52:11 +0000
SUBJECT: re: please
FROM: [e-mail]
TO: [e-mail]
DATE: [[ wo, 27 okt 2004 23:52:12 ]]
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="--------bound--"
Message-Id: <[e-mail]>

Return-Path: <[e-mail]>
X-Envelope-To: [e-mail]
X-Spam-Status: No, hits=2.8 required=5.0
tests=INVALID_DATE,MIME_MISSING_BOUNDARY,NO_REAL_NAME,
RCVD_NUMERIC_HELO
X-Spam-Level: **
Return-Path: <[e-mail]>
Received: from store-21.mail.nl.demon.net by mailstore for [e-mail]
id 1CMvgK-000LGf-5g-000LGo; Wed, 27 Oct 2004 21:50:13 +0000
Received: from incoming-22.mail.nl.demon.net ([194.159.73.162]:1679)
by store-21.mail.nl.demon.net with esmtp (Exim 4.24)
id 1CMvgK-000LGf-5g
for [e-mail]; Wed, 27 Oct 2004 21:50:12 +0000
Received: from cp283269-a.gelen1.lb.home.nl ([84.31.200.33]:4828 helo=127.0.0.1)
by incoming-22.mail.nl.demon.net with esmtp (Exim 4.24)
id 1CMvgJ-000EVd-0T
for [e-mail]; Wed, 27 Oct 2004 21:50:11 +0000
SUBJECT: attachments
FROM: [e-mail]
TO: [e-mail]
DATE: [[ wo, 27 okt 2004 23:50:12 ]]
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="--------bound--"
Message-Id: <[e-mail]>

Return-Path: <[e-mail]>
X-Envelope-To: [e-mail]
X-Spam-Status: No, hits=2.9 required=5.0
tests=INVALID_DATE,MIME_MISSING_BOUNDARY,NIGERIAN_SUBJECT1,
NO_REAL_NAME,RCVD_NUMERIC_HELO
X-Spam-Level: **
Return-Path: <[e-mail]>
Received: from store-20.mail.nl.demon.net by mailstore for [e-mail]
id 1CMvSy-000BZr-0z-000BZt; Wed, 27 Oct 2004 21:36:24 +0000
Received: from incoming-21.mail.nl.demon.net ([194.159.73.161]:4936)
by store-20.mail.nl.demon.net with esmtp (Exim 4.24)
id 1CMvSy-000BZr-0z
for [e-mail]; Wed, 27 Oct 2004 21:36:24 +0000
Received: from cp283269-a.gelen1.lb.home.nl ([84.31.200.33]:4355 helo=127.0.0.1)
by incoming-21.mail.nl.demon.net with esmtp (Exim 4.24)
id 1CMvSw-000Opu-LR
for [e-mail]; Wed, 27 Oct 2004 21:36:22 +0000
SUBJECT: urgent
FROM: [e-mail]
TO: [e-mail]
DATE: [[ wo, 27 okt 2004 23:36:23 ]]
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="--------bound--"
Message-Id: <[e-mail]>

Return-Path: <[e-mail]>
X-Envelope-To: [e-mail]
X-Spam-Status: No, hits=2.8 required=5.0
tests=INVALID_DATE,MIME_MISSING_BOUNDARY,NO_REAL_NAME,
RCVD_NUMERIC_HELO
X-Spam-Level: **
Return-Path: <[e-mail]>
Received: from store-22.mail.nl.demon.net by mailstore for [e-mail]
id 1CMvMN-000ILI-9E-000ILK; Wed, 27 Oct 2004 21:29:35 +0000
Received: from incoming-22.mail.nl.demon.net ([194.159.73.162]:1563)
by store-22.mail.nl.demon.net with esmtp (Exim 4.41)
id 1CMvMN-000ILI-9E
for [e-mail]; Wed, 27 Oct 2004 21:29:35 +0000
Received: from cp283269-a.gelen1.lb.home.nl ([84.31.200.33]:4107 helo=127.0.0.1)
by incoming-22.mail.nl.demon.net with esmtp (Exim 4.24)
id 1CMvMM-0009No-7n
for [e-mail]; Wed, 27 Oct 2004 21:29:34 +0000
SUBJECT: text
FROM: [e-mail]
TO: [e-mail]
DATE: [[ wo, 27 okt 2004 23:29:35 ]]
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="--------bound--"
Message-Id: <[e-mail]>

Return-Path: <[e-mail]>
X-Envelope-To: [e-mail]
X-Spam-Status: No, hits=2.9 required=5.0
tests=FORGED_HOTMAIL_RCVD2,INVALID_DATE,MIME_MISSING_BOUNDARY,
NO_REAL_NAME,RCVD_NUMERIC_HELO
X-Spam-Level: **
Return-Path: <[e-mail]>
Received: from store-20.mail.nl.demon.net by mailstore for [e-mail]
id 1CMvFR-0007gc-00-0007gg; Wed, 27 Oct 2004 21:22:25 +0000
Received: from incoming-20.mail.nl.demon.net ([194.159.73.160]:4317)
by store-20.mail.nl.demon.net with esmtp (Exim 4.24)
id 1CMvFR-0007gc-00
for [e-mail]; Wed, 27 Oct 2004 21:22:25 +0000
Received: from cp283269-a.gelen1.lb.home.nl ([84.31.200.33]:3914 helo=127.0.0.1)
by incoming-20.mail.nl.demon.net with esmtp (Exim 4.34)
id 1CMvFP-000Ksf-8l
for [e-mail]; Wed, 27 Oct 2004 21:22:24 +0000
SUBJECT: Money
FROM: [e-mail]
TO: [e-mail]
DATE: [[ wo, 27 okt 2004 23:22:24 ]]
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="--------bound--"
Message-Id: <[e-mail]>

Hebben jullie hier wat aan?

[alt-92]

Wat valt je zelf op?

[Shifty-PK]

Eh, dit: Message-Id: <[e-mail]> ?

Ik ben er verder niet in thuis dus weet niet wat er standaard wel en niet in staat

[alt-92]

cp283269-a.gelen1.lb.home.nl ([84.31.200.33]

Dat dus.

Je gaat kijken naar wat overal hetzelfde is.

[Shifty-PK]

Hmmm, ok, dus ik ontvang alle mails van 1 hostname/ip adres...

Nu een mail naar home sturen ofzo?

[Verwijderd]

Shifty-PK schreef op 28 oktober 2004 @ 00:53:
Hmmm, ok, dus ik ontvang alle mails van 1 hostname/ip adres...

Nu een mail naar home sturen ofzo?

Je zou inderdaad een mailtje naar [e-mail] kunnen sturen

[alt-92]

[blackd]

En zeg gelijk tegen die Richard (*censuur*) dattie ook leert headers te lezen, en in plaats van bij Demon bij @Home mag gaan klagen.

[alt-92]

met stom

[Shifty-PK]

hehe, thanks guys.

Heb mailtje gestuurd.

Maar wat ik mij afvraag is hoe Richard (*Censuur*) erbij komt dat ik die mails verstuur?

Nog ff de header van zijn reply:

Return-Path: <[e-mail]>
X-Envelope-To: [e-mail]
X-Spam-Status: No, hits=0.0 required=5.0
X-Spam-Level:
Return-Path: <[e-mail]>
Received: from store-20.mail.nl.demon.net by mailstore for [e-mail]
id 1CMm9r-000KcK-1p-000KcO; Wed, 27 Oct 2004 11:40:03 +0000
Received: from incoming-20.mail.nl.demon.net ([194.159.73.160]:4231)
by store-20.mail.nl.demon.net with esmtp (Exim 4.24)
id 1CMm9r-000KcK-1p
for [e-mail]; Wed, 27 Oct 2004 11:40:03 +0000
Received: from bay22-dav8.bay22.hotmail.com ([64.4.16.188]:27448 helo=hotmail.com)
by incoming-20.mail.nl.demon.net with esmtp (Exim 4.34)
id 1CMm9r-000Nb5-Aj
for [e-mail]; Wed, 27 Oct 2004 11:40:03 +0000
Received: from mail pickup service by hotmail.com with Microsoft SMTPSVC;
Wed, 27 Oct 2004 04:40:01 -0700
Received: from 80.127.54.126 by BAY22-DAV8.phx.gbl with DAV;
Wed, 27 Oct 2004 11:39:32 +0000
X-Originating-IP: [80.127.54.126]
X-Originating-Email: [[e-mail]]
X-Sender: [e-mail]
From: "Judith Aronson" <[e-mail]>
To: <[e-mail]>
Subject: RE: Money
Date: Wed, 27 Oct 2004 13:40:51 +0200
Message-ID: <002801c4bc19$cfc2a220$0200a8c0@rblokland>
MIME-Version: 1.0
Content-Type: text/plain;
charset="US-ASCII"
Content-Transfer-Encoding: 7bit
X-Priority: 3 (Normal)
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook, Build 10.0.6626
Importance: Normal
In-Reply-To: <[e-mail]>
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.2180
X-OriginalArrivalTime: 27 Oct 2004 11:40:01.0810 (UTC) FILETIME=[B1E69720:01C4BC19]

Ik weet niet of je he tweet maar je bent virussen an het versturen.
Controleer je systeem op virussen en verwijder ze.

Als we er nog een krijgen stuur ik een abuse aan Demon.

Groet,

Richard ***


-----Original Message-----
From: [e-mail] [mailto:[e-mail]]
Sent: dinsdag 27 januari 2004 14:31
To: [e-mail]
Subject: Money

I am responding to your last email in the attached file.
I had a delivery problem with your inbox, so maybe you'll receive this now.

[ Voor 3% gewijzigd door Shifty-PK op 28-10-2004 01:05 ]

[Verwijderd]

Shifty-PK schreef op 28 oktober 2004 @ 01:02:
hehe, thanks guys.

Heb mailtje gestuurd.

Maar wat ik mij afvraag is hoe Richard (*Censuur*) erbij komt dat ik die mails verstuur?

Nog ff de header van zijn reply:


[...]

Omdat jouw mailserver de mailtjes doorstuurt naar zijn e-mail adres (en waarschijnlijk nog wel meer adressen)

Je bent BTW vergeten zijn naam te censureren in de bovenstaande post

[ Voor 10% gewijzigd door Verwijderd op 28-10-2004 01:03 ]

[blackd]

Richard kijkt waarschijnlijk naar de afzender (From: shifty-pk [at] shifty [.] demon [.] nl) en niet naar de headers.
En de afzender (From: header) is zeer simpel te faken. (ooit een verkeerd email adres ingevuld in je mailclient?)

Dus ook Richard moet in de headers van het mailtje kijken wat hij ontvangen heeft (zogenaamd van jou) en controleren waar het vandaan komt, en aan de hand daar van actie ondernemen, niet aan de hand van het afzender adres. En ik schat de kans groot dat ook die virussen van dezelfde @Home abonnee komen.

[Shifty-PK]

eeeehhhh, mischien ff kleine uitleg want ik snap niet waarom mijn mail server mail zou doorsturen die niet voor mij zijn?

Is nie helemaal de bedoeling denk ik zo, dus wat doe ik fout?

Smtp relay staat niet open, deze is beveiligt met een wachtwoord met inlognaam.

[Verwijderd]

Shifty-PK schreef op 28 oktober 2004 @ 01:08:
eeeehhhh, mischien ff kleine uitleg want ik snap niet waarom mijn mail server mail zou doorsturen die niet voor mij zijn?

Is nie helemaal de bedoeling denk ik zo, dus wat doe ik fout?

Smtp relay staat niet open, deze is beveiligt met een wachtwoord met inlognaam.

Dat komt allemaal door de leuke virusjes/spyware die aan die mailtjes vastzit lijkt mij

[blackd]

Verwijderd schreef op 28 oktober 2004 @ 01:12:
Dat komt allemaal door de leuke virusjes/spyware die aan die mailtjes vastzit lijkt mij

Door files van 0 bytes? Knap.

[Verwijderd]

blackd schreef op 28 oktober 2004 @ 01:13:
[...]

Door files van 0 bytes? Knap.

Die files zullen er niet voor niets bijzitten...

[Shifty-PK]

hehe

[28/Oct/2004 01:01:00] Relay attempt from IP address 62.251.15.154, mail from <[e-mail]> to <[e-mail]> rejected

Maaruh, op de mailserver worden geen email ontvangen(zeg maar), dus lijkt me onwaarschijnlijk dat daar een virus via email is opgekomen...virus scanner kon op de mailserver ook niets vinden.

[ Voor 10% gewijzigd door Shifty-PK op 28-10-2004 01:17 ]

[alt-92]

1440:"

die zijn er hoogstwaarschijnlijk al afgetrapt door demon's mailservers.

Verder heeft zijn eigen mailserver geen ***** met dit verhaal van doen aangezien hij de bounces op zn catchall binnenkrijgt.