Sulla base di queste intestazioni di posta elettronica, da dove proviene questo virus?

Question

Sulla base di queste intestazioni di posta elettronica, da dove proviene questo virus?

#1 da (1 voti)
#2 da (1 voti)

1

Vedo un virus nella nostra rete con alcune intestazioni strane. A volte vengono (provenienti) da un VIP netscaler, altre volte sembrano provenire da un server hub di Exchange.

Come posso determinare l'origine di questo virus? (workstation, ecc.)

Penso che questo abbia a che fare con l'autenticazione speciale del connettore di ricezione (autenticazione MX Exchange?) che consente l'accettazione del messaggio.

Content-Type: application/ms-tnef; name="winmail.dat"
Content-Transfer-Encoding: binary
From: "Dale Chip" <[email protected]>
Subject: Unpaid invoic
Thread-Topic: Unpaid invoic
Thread-Index: Ac/of6pWLOgzgrBLQM2EB7owtQTxYw==
Date: Wed, 15 Oct 2014 09:55:25 -0400
Message-ID: <[email protected]>
Accept-Language: en-US
Content-Language: en-US
MIME-Version: 1.0
X-MS-Exchange-Organization-Recipient-P2-Type: Bcc

email virus exchange

posta random65537 15.10.2014 - 16:03

fonte

2 risposte

Leggi altre domande sui tag email virus exchange

I componenti aggiuntivi del browser aumentano il rischio di sicurezza a causa di possibili vulnerabilità Analisi manuale malware / adware dopo scansione SEP

score 1 · Answer 1

Controllato. Authmechanism=04 è una notazione esadecimale che ti dice che il server Exchange ha autenticato l'indirizzo IP. Con questo, voglio dire che hai configurato il tuo server Exchange per trattare determinati indirizzi IP o intervalli di "trusted" nel linguaggio che bypasseranno l'autenticazione regolare nome utente / password e / o eventuali filtri spam / virus.

La posta proviene da una macchina con IP 10.130.15.171 . Questo IP potrebbe essere un server intermedio. Quindi potresti dover controllare i log di quel server.

score 1 · Answer 2

Utilizza il link o qualcosa di simile per geolocalizzare un indirizzo ip

in caso di 10.130.15.171, questo è un indirizzo IP privato sulla tua rete

Intervalli di indirizzi IP privati

Gli intervalli e la quantità di IP utilizzabili sono i seguenti:

10.0.0.0 - 10.255.255.255 Indirizzi: 16.777.216

172.16.0.0 - 172.31.255.255 Indirizzi: 1.048.576

192.168.0.0 - 192.168.255.255 Indirizzi: 65.536

Tracciare questi messaggi indirizzati a virii potrebbe essere difficile. È facile per un hacker ottenere il controllo di un computer zombie in qualsiasi parte del mondo, spoofare l'indirizzo mac e l'indirizzo IP e inviare da lì. Se eseguito tramite più proxy e la connessione originale è su un PC portatile basato su un WiFi Starbucks gratuito, non sarà possibile tracciare.

Spero che questo aiuti