Toon posts:

Schijnbaar onbekende undeliverable mail komt binnen

Pagina: 1
Acties:
  • 127 views sinds 30-01-2008
  • Reageer

donderdag 16 december 2004 14:56

Acties:
  • MrDry
  • Registratie: December 2001
  • Laatst online: 17:20

MrDry

Desperados!

Topicstarter
We hebben hier een exchangeserver staan (W2K SBS).

Op ons info mail adres staan een 2-tal mails. De eerste met topic: "FwD: Your Password" en een tweede met topic "Undeliverable: FwD: Your Password".

Het eerste mailtje bevat volgens McAfee groupshield een virus. Als attachment kwam er een PIF mee welke door groupshield is vervangen.

Toch lijkt het alsof het mailtje toch vanuit ons netwerk is doorgestuurd naar een aantal mailadressen [AT]provinciegroniningen. Dit lijkt me raar omdat groupshield het mailtje al te grazen heeft genomen.

Dit is een fragment van het mailtje wat ik terug kreeg

Ik heb alle @-tjes ff vervangen door [AT]-jes


code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

Your message

  To:      last[AT]provinciegroningen.nl
  Subject: FwD: Your Password
  Sent:    Thu, 16 Dec 2004 13:00:14 +0100

did not reach the following recipient(s):

terstege[AT]provinciegroningen.nl on Thu, 16 Dec 2004 13:32:13 +0100
    The recipient name is not recognized
    The MTS-ID of the original message is: c=us;a= ;p=provgron;l=PROV310412161232Y0YXGT1D
    MSEXCH:IMS:PROVGRON:Groningen:PROV31 0 (000C05A6) Unknown Recipient tentij.bv[AT]provinciegroningen.nl on Thu, 16 Dec 2004 13:32:13 +0100
    The recipient name is not recognized
    The MTS-ID of the original message is: c=us;a= ;p=provgron;l=PROV310412161232Y0YXGT1D
    MSEXCH:IMS:PROVGRON:Groningen:PROV31 0 (000C05A6) Unknown Recipient td[AT]provinciegroningen.nl on Thu, 16 Dec 2004 13:32:13 +0100
    The recipient name is not recognized
    The MTS-ID of the original message is: c=us;a= ;p=provgron;l=PROV310412161232Y0YXGT1D
    MSEXCH:IMS:PROVGRON:Groningen:PROV31 0 (000C05A6) Unknown Recipient sacon[AT]provinciegroningen.nl on Thu, 16 Dec 2004 13:32:13 +0100
    The recipient name is not recognized
    The MTS-ID of the original message is: c=us;a= ;p=provgron;l=PROV310412161232Y0YXGT1D
    MSEXCH:IMS:PROVGRON:Groningen:PROV31 0 (000C05A6) Unknown Recipient rib.peree[AT]provinciegroningen.nl on Thu, 16 Dec 2004 13:32:13 +0100
    The recipient name is not recognized
    The MTS-ID of the original message is: c=us;a= ;p=provgron;l=PROV310412161232Y0YXGT1D
    MSEXCH:IMS:PROVGRON:Groningen:PROV31 0 (000C05A6) Unknown Recipient p.ter.maat[AT]provinciegroningen.nl on Thu, 16 Dec 2004 13:32:13 +0100
    The recipient name is not recognized


Er staan een aantal geadreseerden in die ik wel ken maar niet allemaal. Het is mij dus volledig onduidelijk waar het mailtje vandaan komt.

Is er iemand die weet of ik nou toevallig 2 mailtjes tegelijk krijg of dat het 1e maitje echt door ons is doorgestuurd.....


Voor de volledigheid nog even de headers van maitje 1:
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64

Microsoft Mail Internet Headers Version 2.0
Received: from exchange-pop3-connector.com ([192.168.0.1]) by server.rietvink-architecten.nl with Microsoft SMTPSVC(5.0.2195.6713); Thu, 16 Dec 2004 13:38:25 +0100
Return-Path: <MAILER-DAEMON[AT]xs4all.nl>
Received: from mg6.megaplex.nl (mg6.megaplex.nl [80.79.97.26]) by mxdrop18.xs4all.nl (8.12.11/8.12.11) with ESMTP id iBGCWPMC003421 for <info[AT]rietvink-architecten.nl>; Thu, 16 Dec 2004 13:32:25 +0100 (CET)
Received: from mailrelay.gemnet.nl (unknown [80.79.97.242]) by mg6.megaplex.nl (Postfix) with ESMTP id 83C10125 for <info[AT]rietvink-architecten.nl>; Thu, 16 Dec 2004 13:27:19 +0100 (CET)
X-MimeOLE: Produced By Microsoft Exchange V6.0.6249.0
Received: from mailhost.gemnet.nl (smtp.gemnet.nl [192.168.109.119]) by mailrelay.gemnet.nl (Postfix) with ESMTP id 14CEA794F for <info[AT]rietvink-architecten.nl>; Thu, 16 Dec 2004 13:32:25 +0100 (MET)
Received: from prov60.provinciegroningen.nl (unknown [192.168.128.151]) by mailhost.gemnet.nl (Postfix) with SMTP id D54311E1425 for <info[AT]rietvink-architecten.nl>; Thu, 16 Dec 2004 13:32:22 +0100 (MET)
Date: Thu, 16 Dec 2004 13:32:07 +0100 (CET)
To: <info[AT]rietvink-architecten.nl>
MIME-Version: 1.0
Content-Type: Multipart/Mixed;
    boundary="----=_NextPart_000_2CD79_01C4E374.86518F20"
X-NAI-Header: Modified by McAfee Webshield appliance
X-NAI-Secondary-Action: Modified E-Mail For Sender
X-NAI-ID: 2135_7e96bb7e_4f5e_11d9_8b16_0002b3ebc9d4
Subject: FwD: Your Password
Message-ID: <20041216123223.D54311E1425[AT]mailhost.gemnet.nl>
X-Virus-Scanned: by XS4ALL Virus Scanner
X-UIDL: 1103200345._smtp.mxdrop18.3425,S=2962
From: <unknown[AT]unknown.com>
X-OriginalArrivalTime: 16 Dec 2004 12:38:25.0367 (UTC) FILETIME=[22D67670:01C4E36C]

------=_NextPart_000_2CD79_01C4E374.86518F20
Content-Transfer-Encoding: 7bit
Content-Type: message/rfc822
Content-Disposition: attachment

Received: from (192.168.109.118) by prov60.provinciegroningen.nl via smtp id 2135_7e96bb7e_4f5e_11d9_8b16_0002b3ebc9d4; Thu, 16 Dec 2004 13:32:06 +0100 (CET)
Received: from mailhost.gemnet.nl (smtp.gemnet.nl [192.168.109.119]) by mailrelay.gemnet.nl (Postfix) with ESMTP id 1B13D796A; Thu, 16 Dec 2004 13:32:11 +0100 (MET)
Received: from mg5.megaplex.nl (mg5.megaplex.nl [80.79.97.25]) by mailhost.gemnet.nl (Postfix) with ESMTP id A91CB1E1413; Thu, 16 Dec 2004 13:32:10 +0100 (MET)
X-MimeOLE: Produced By Microsoft Exchange V6.0.6249.0
Received: from jnawlmdgp.nl (62-221-197-49.dsl.uwadslprovider.nl [62.221.197.49]) by mg5.megaplex.nl (Postfix) with SMTP id 351088B; Thu, 16 Dec 2004 13:22:32 +0100 (CET)
From: <info[AT]rietvink-architecten.nl>
To: <last[AT]provinciegroningen.nl>
Date: Thu, 16 Dec 2004 12:00:14 UTC
Subject: FwD: Your Password
Importance: Normal
X-Priority: 3 (Normal)
X-MSMail-Priority: Normal
Message-ID: <f726e7a3.ad51c4c701[AT]fumkfpk.com>
MIME-Version: 1.0
Content-Type: multipart/mixed;
    boundary="====6eddabcf7260"
Content-Transfer-Encoding: 7bit

--====6eddabcf7260
Content-Type: text/plain;
    charset="iso-8859-1"
Content-Transfer-Encoding: 7bit

--====6eddabcf7260
Content-Description: warning.htm
Content-Type: text/html;
    name="warning.htm"
Content-Transfer-Encoding: quoted-printable
Content-Disposition: attachment;
    filename="warning.htm"
X-NAIMIME-Modified: 1


--====6eddabcf7260--

------=_NextPart_000_2CD79_01C4E374.86518F20--



En de headers van mailtje 2:
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56

Microsoft Mail Internet Headers Version 2.0
Received: from exchange-pop3-connector.com ([192.168.0.1]) by server.rietvink-architecten.nl with Microsoft SMTPSVC(5.0.2195.6713);
     Thu, 16 Dec 2004 13:38:26 +0100
Return-Path: <MAILER-DAEMON[AT]xs4all.nl>
Received: from oneida.bit.nl (oneida.bit.nl [213.136.12.3])
    by mxdrop27.xs4all.nl (8.12.11/8.12.11) with SMTP id iBGCWiTo082127
    for <info[AT]rietvink-architecten.nl>; Thu, 16 Dec 2004 13:32:44 +0100 (CET)
Received: (qmail 3821 invoked from network); 16 Dec 2004 12:32:18 -0000
Received: from unknown (HELO prov31.provinciegroningen.nl) (213.154.227.147)
  by oneida.bit.nl with SMTP; 16 Dec 2004 12:32:18 -0000
Received: by prov31.provinciegroningen.nl with Internet Mail Service (5.5.2655.55)
    id <Y0YXGT1F>; Thu, 16 Dec 2004 13:32:17 +0100
Message-ID: <E0790B9D5062894CB1569E81E391688A05286370[AT]prov31.provinciegroningen.nl>
From: System Administrator <postmaster[AT]provinciegroningen.nl>
To: info[AT]rietvink-architecten.nl
Subject: Undeliverable: FwD: Your Password
Date: Thu, 16 Dec 2004 13:32:17 +0100
MIME-Version: 1.0
X-Mailer: Internet Mail Service (5.5.2655.55)
X-MS-Embedded-Report: 
Content-Type: multipart/mixed;
    boundary="----_=_NextPart_000_01C4E36B.474EDC0F"
X-Virus-Scanned: by XS4ALL Virus Scanner
X-UIDL: 1103200364._smtp.mxdrop27.82132,S=12935
X-OriginalArrivalTime: 16 Dec 2004 12:38:27.0242 (UTC) FILETIME=[23F490A0:01C4E36C]

------_=_NextPart_000_01C4E36B.474EDC0F
Content-Type: text/plain

------_=_NextPart_000_01C4E36B.474EDC0F
Content-Type: message/rfc822

Message-ID: <f726e7a3.ad51c4c701[AT]fumkfpk.com>
From: info[AT]rietvink-architecten.nl
To: last[AT]provinciegroningen.nl
Subject: FwD: Your Password
Date: Thu, 16 Dec 2004 13:00:14 +0100
MIME-Version: 1.0
X-Mailer: Internet Mail Service (5.5.2655.55)
X-MS-Embedded-Report: 
Content-Type: multipart/mixed;
    boundary="----_=_NextPart_002_01C4E36B.474EDC0F"

------_=_NextPart_002_01C4E36B.474EDC0F
Content-Type: text/plain

------_=_NextPart_002_01C4E36B.474EDC0F
Content-Type: application/octet-stream;
    name="rietvink-architecten_1918.pif"
Content-Disposition: attachment;
    filename="rietvink-architecten_1918.pif"


------_=_NextPart_002_01C4E36B.474EDC0F--

------_=_NextPart_000_01C4E36B.474EDC0F--

Quod licet lovi, non licet bovi

donderdag 16 december 2004 22:01

Acties:

Verwijderd

De eerste komt volgens mij hier vandaan:
jnawlmdgp.nl (62-221-197-49.dsl.uwadslprovider.nl [62.221.197.49])

De tweede kun je niet zien omdat de originele header niet in het berricht staat.

De provincie groningen heeft waarschijnlijk zijn mailserver nog zo geconfigureerd dat hij virusmailtjes bounced naar het afzender adres. Wat dus bijna altijd gefaked is. Lekker handig.

vrijdag 17 december 2004 10:32

Acties:
  • MrDry
  • Registratie: December 2001
  • Laatst online: 17:20

MrDry

Desperados!

Topicstarter
Verwijderd schreef op donderdag 16 december 2004 @ 22:01:

De tweede kun je niet zien omdat de originele header niet in het berricht staat.
Hoe bedoel je dat? Hoe zie je dat de originele header ontbreekt?

Quod licet lovi, non licet bovi

zaterdag 18 december 2004 13:36

Acties:

Verwijderd

misschien dat rietvink architecten bureau een virus op z'n putert heeft staan.
want unknown@unknown.com lijkt wel op een smtp-server.
dwz hij stuurt mail 1 geinfecteerd of niet via normale route,
en virus stuurt mail 2 via eigen smtp-engine
Reageer

Apple iPhone 17 LG OLED evo G5 Google Pixel 10 Samsung Galaxy S25 Star Wars: Outlaws Nintendo Switch 2 Apple AirPods Pro (2e generatie) Sony PlayStation 5 Pro

Tweakers is onderdeel van DPG Media B.V.
Alle rechten voorbehouden - Auteursrecht © 1998 - 2025 • Hosting door TrueFullstaq