E-Mail verselbstständigt!

[Sebastian]

Guten Morgen ihr lieben Leute,

ich habe da ein peinliches Problem!

Ich habe nun von mehreren Leuten bescheid bekommen,
dass bei Ihnen eine E-Mail angekommen ist, die von einer meiner E-mail-Adressen weitergeleitet wurde. Das merkwürdige daran ist, ich habe keine E-Mail an die Leute veschickt.

Im Text steht dann nur:

Test

Sehr aussagekräftig!
Ich will gleich mal bei 1und1 schauen, ob sich da eine Weiterleitung in meiner E-mail-Konfig eingschlichen hat, aber der Server ist gerade nicht zu erreichen.

Dem Header nach zu urteieln, kommt die E-Mail aber direkt von Outlook:

HEADER --- begin

Return-path: [e-mail]
Envelope-to: [e-mail]
Delivery-date: Mon, 05 May 2003 01:21:12 +0200
Received: from [194.25.134.83] (helo=mailout07.sul.t-online.com)
 by mxng03.kundenserver.de with esmtp (Exim 3.35 #1)
 id 19CSn7-0001a3-00
 for [e-mail]; Mon, 05 May 2003 01:21:09 +0200
Received: from fwd04.sul.t-online.de
 by mailout07.sul.t-online.com with smtp
 id 19CSn6-0000rM-02; Mon, 05 May 2003 01:21:08 +0200
Received: from oemcomputer (520059231418-0001@[217.3.149.237]) by fwd04.sul.t-online.com
 with smtp id 19CSn2-0kqdbkC; Mon, 5 May 2003 01:21:04 +0200
Message-ID: 00b901c31293$d4c0bf40$ed9503d9@oemcomputer
From: [e-mail] (Anne Worbes)
To: [e-mail]
References: [e-mail]
Subject: Re: weitergeleitet
Date: Mon, 5 May 2003 01:21:02 +0200
MIME-Version: 1.0
Content-Type: text/plain;
 charset="iso-8859-1"
Content-Transfer-Encoding: 8bit
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 5.50.4522.1200
X-MimeOLE: Produced By Microsoft MimeOLE V5.50.4522.1200
X-Sender: [e-mail]

HEADER --- end

Kennt jemand dieses Phänomen? Ich bin echt erschreckt. Es macht natürlich einen super Eindruck, wenn Kunden eine Solche E-Mail bekommen. So frei nach dem Motto: "Der hat alles unter Kontrolle!"

Also,

über Tipps bzw. Hilfe wäre ich wirklich dankbar!

Gruß
Sebastian

[Sebastian]

und nochwas ...

vergesst dass mit dem Header!
Das war der Header der falschen E-mail!

Ich bin noch nicht ganz wach, sorry!

Gruß
ZAB

[Stefan Bach]

Hallo,

vergesst dass mit dem Header!
Das war der Header der falschen E-mail!

Ok, dann poste doch einfach mal den richtigen.

Bist du dir denn überhaupt sicher, dass die Mails auch von deinem Rechner aus kamen? Wenn du mir deine Mailadresse sagst, dann kann ich auch jedem x-beliebigen Menschen eine Mail schreiben die so aussieht, als käme sie von dir.
Die einzige Möglichkeit das zu entdecken sind die Recieved Header. Wenn wir jetzt unsere Mails aber zum Beispiel beide von T-Online aus verschicken, dann kann das selbst der Empfänger nur schwer unterscheiden.

Er hat ja schließlich keinen Zugang zu den Einwahldaten von T-Online, so dass er schauen könnte, ob die Absender IP zum Absendezeitpunkt auch wirklich zu deiner Einwahlkennung gehört.

Wenn es allerdings einen Fehler auf deiner Seite gab, dann kannst du doch mal nachschauen, ob die betreffenden Mails bei dir irgendwo unter "Gesendete Objekte" (o.ä.) abgelegt sind.

Viele Grüße,

Stefan

[Sebastian]

Hi,

Ok, dann poste doch einfach mal den richtigen.

Ich lasse mir gerade nochmals eine von den erwähnten E-mails per Anhang zuschicken, sodass ich den Header auch genau ansehen kann.

Bist du dir denn überhaupt sicher, dass die Mails auch von deinem Rechner aus kamen?

Noch nicht!

Wenn es allerdings einen Fehler auf deiner Seite gab, dann kannst du doch mal nachschauen, ob die betreffenden Mails bei dir irgendwo unter "Gesendete Objekte" (o.ä.) abgelegt sind.

Leider nicht, dann wäre dass Problem auch leichter nachzuvollziehen!

Schon mal danke für deine Aufmerksamkeit!

Gruß
Sebastian

[Tim]

Hi!

Im Prinzip ist es eigentlich doch gar kein Problem Emails über fremde Accounts zu verschicken (traurig aber wahr).

Möchte nur (und das ist keine Aufforderung es zu mißbrauchen!!!) an das Perl Modul Mail::Sender erinnern. Obwohl ich nicht genau weiß, warum es geht - vielleicht eine falsche Konfiguration des Providers.

Bei einigen  Mail Accounts kann man damit Mails verschicken, ohne einen Benutzernamen und Passwort mit angeben zu müssen. Email-Adresse und smtp-Server reichen völlig aus. Da alle Provider FAQ's haben, in denen die Server angegeben sind, könnte doch im Prinzip jeder Emails von fremden Adressen aus verschicken.

Über andere Möglichkeiten kann ich nichts sagen, aber wenn es auf die beschriebene Weise verschickt worden ist, müsste ein teil des Header so aussehen:

<header>
X-Mailer: Perl Script test.pl
          using Mail::Sender 0.8.04 by Jenda Krynicky, Czechlands
</header>

Aber wenn Du den Header postest, wissen wir mehr.

Gruß,
Tim

[Stefan Bach]

Hallo Tim,

Im Prinzip ist es eigentlich doch gar kein Problem Emails über fremde Accounts zu verschicken (traurig aber wahr).

Möchte nur (und das ist keine Aufforderung es zu mißbrauchen!!!) an das Perl Modul Mail::Sender erinnern. Obwohl ich nicht genau weiß, warum es geht - vielleicht eine falsche Konfiguration des Providers.

Du benötigst dazu nicht unbedingt ein Perl Modul und es ist auch keine falsche Konfiguration welche das erlaubt.

Angenommen du wolltest mir ([e-mail]) eine E-Mail schreiben welche von einer falschen Absenderadresse ([e-mail]) kommt, dann kannst du das einfach mit Windows (oder Linux) Bordmitteln bewerkstelligen.

Zuerst einmal brauchst du Infos zu den Mailservern die Mails an web.de Adressen annehmen.

In der Eingabeaufforderung nslookup aufrufen und folgendes eingaben:

set querytype=MX
web.de

Jetzt erhälst du einige Server, z.B. mailgate7.cinetic.de

Zu diesem verbindest du dich via Telnet auf Port 25

telnet mailgate7.cinetic.de 25

Und nun schickst du ihm deine Nachricht. Wie das gemacht wird beschreibt die RFC 821, zu finden z.B. unter http://www.ietf.org/rfc/rfc821.txt

| HELO tim.example.com
| MAIL FROM:[e-mail]
| RCPT TO:[e-mail]
| DATA
| Header1
| Header2
| Headern
|
| Body1
| Body2
| Bodyn
| .
| QUIT

Die einzige Spur die später auf dich zeigen wird ist eine Recieved Zeile bei den Headerangaben. Der web.de Mailserver wird darin deine IP angeben und den Zeitpunkt zu welchem er die Mail erhalten hat.

Viele Grüße,

Stefan

[Tim]

Hi Stefan,

Du benötigst dazu nicht unbedingt ein Perl Modul und es ist auch keine falsche Konfiguration welche das erlaubt.

Danke für die Info, ich dachte wirklich, dass da etwas falsch konfiguriert ist.

Zu diesem verbindest du dich via Telnet auf Port 25

das ist dann doch der "fiese Vorteil" des Perl-Moduls, denn bei meinem Provider geht es nur mit Secure-Shell und da geht es nicht ohne Benutzeraccount.

Und nun schickst du ihm deine Nachricht. Wie das gemacht wird beschreibt die RFC 821, zu finden z.B. unter http://www.ietf.org/rfc/rfc821.txt

Man vergisst leider immer wieder, dass eigentlich doch alles über die Kommandozeile geht :-))

Die einzige Spur die später auf dich zeigen wird ist eine Recieved Zeile bei den Headerangaben. Der web.de Mailserver wird darin deine IP angeben und den Zeitpunkt zu welchem er die Mail erhalten hat.

Was in Sachen Rückverfolgung für den Otto-Normalverbraucher auch nichts bringt. Wenn die eigene Mail-Adresse von dritten benutzt wird, hilft dann ja vermutlich auch nur der Rechtsweg...

Gruß,
Tim

[Stefan Bach]

Hallo,

Zu diesem verbindest du dich via Telnet auf Port 25

das ist dann doch der "fiese Vorteil" des Perl-Moduls, denn bei meinem Provider geht es nur mit Secure-Shell und da geht es nicht ohne Benutzeraccount.

Falsch. Auf Port 25 Läuft kein Telnet Server. Auf diesem Rechenr lauscht der SMTP Server auf eingehende Nachrichten. Und diese kann ihm jeder übergeben.
Ansonsten könntest du ja nur Mails von Leuten empfangen welchen du zuvor einen Benutzeraccount eingerichtet hast.

Das Perl Modul macht nichts anderes als die von mir beschriebenen Schritte transparent für den Programmierer durchzuführen.

Viele Grüße,

Stefan

[Tim]

Hi Stefan!

Falsch. Auf Port 25 Läuft kein Telnet Server. Auf diesem Rechenr lauscht der SMTP Server auf eingehende Nachrichten. Und diese kann ihm jeder übergeben.
Ansonsten könntest du ja nur Mails von Leuten empfangen welchen du zuvor einen Benutzeraccount eingerichtet hast.

Danke für den Hinweis, ich merke schon, dass ich von der Materie nicht so viel verstehe.
Das beschriebene Verfahren funktioniert auch bei meinem Provider, hab es gerade ausprobiert.

Aber gibt es wirklich keine Möglichkeit, da was zu sperren? Oder ist das genau die Quelle des ganzen SPAM-Mists?

Gruß,
Tim

[Sven Rautenberg]

Moin!

Aber gibt es wirklich keine Möglichkeit, da was zu sperren? Oder ist das genau die Quelle des ganzen SPAM-Mists?

Nicht wirklich.

Es gibt offene Mail-Relays - das sind Mailserver, die Post von irgendwem annehmen, und sie an irgendwen anders weiterleiten. Der Relay-Mailserver ist aber für keine der beiden Domains, Absender und Empfänger, zuständig. Sowas ist ein Paradies für Spammer, weil sie an beliebige Empfänger (die sie in ihrer Datenbank stehen haben) mit beliebiger Absenderadresse (die sie sich frei ausdenken können) Mails verschicken können. Niemand kann ihnen das Mailen verbieten, weil es keinen Account gibt, den man sperren kann.

Aber es ist unmöglich, einem Mailserver zu verbieten, von irgendwem (man weiß vorher nicht, wer dir mailen wird) Post für deine Mailbox anzunehmen, wenn der Mailserver für deine Mailbox zuständig ist.

Ebenso kann man einem Mailserver nicht verbieten, deine Post anzunehmen und an den Empfänger weiterzuleiten (neuere Verfahren benutzen zur Authentifizierung SMTP-Auth oder (was älter ist) SMTP-after-POP, um sicherzustellen, dass du einen Account auf dem Mailserver hast).

Das ist wie im richtigen Leben: Du kannst auch auf einen Brief jeden beliebigen Absender draufschreiben.

- Sven Rautenberg

[Stefan Bach]

Hallo,

Aber es ist unmöglich, einem Mailserver zu verbieten, von irgendwem (man weiß vorher nicht, wer dir mailen wird) Post für deine Mailbox anzunehmen, wenn der Mailserver für deine Mailbox zuständig ist.

So ganz stimmt das nicht. Es gibt diverse Blocklisten im Internet. Diese haben IPs von offenen Relays oder auch Dialup IPs gelistet. Wenn man mit Hilfe dieser Listen den Zugang zum Mailserver sperrt (z.B. schon direkt an der Firewall), dann kann von diesen Rechnern auch keiner mehr Mails ausliefern.
Dies geht aber nur wenn man den Mailserver selbst administrieren kann. Und man begiebt sich immer in die Gefahr auch Mails die man eigentlich gerne haben würde auszuschließen.

Viele Grüße,

Stefan

[Sebastian]

Hi,

hier der Header:

Return-Path: <>
Received: from moutng.kundenserver.de ([212.227.126.188]) by mailin04.sul.t-online.com
 with esmtp id 19CSts-15p1tIC; Mon, 5 May 2003 01:28:08 +0200
Received: from [212.227.126.139] (helo=mxng12.kundenserver.de)
 by moutng.kundenserver.de with esmtp (Exim 3.35 #1)
 id 19CStr-0000PW-00
 for [e-mail]; Mon, 05 May 2003 01:28:07 +0200
Received: from mail by mxng12.kundenserver.de with local (Exim 3.35 #1)
 id 19CStm-0003Bt-00
 for [e-mail]; Mon, 05 May 2003 01:28:02 +0200
From: [e-mail] [e-mail]
To: [e-mail]
Subject: weitergeleitet
In-Reply-To: 00e301c31294$c663e0c0$ed9503d9@oemcomputer
Mime-Version: 1.0
Content-Type: text/plain; charset=iso-8859-1
Content-Transfer-Encoding: 8bit
Message-Id: [e-mail]
Date: Mon, 05 May 2003 01:28:02 +0200

Ich bin daraus nicht schlau geworden!
Zur Info, ich bin bei 1und1!

Gruß
Sebastian

[Stefan Bach]

Hallo,

Received: from moutng.kundenserver.de ([212.227.126.188]) by mailin04.sul.t-online.com
with esmtp id 19CSts-15p1tIC; Mon, 5 May 2003 01:28:08 +0200
Received: from [212.227.126.139] (helo=mxng12.kundenserver.de)
by moutng.kundenserver.de with esmtp (Exim 3.35 #1)
id 19CStr-0000PW-00
for [e-mail]; Mon, 05 May 2003 01:28:07 +0200
Received: from mail by mxng12.kundenserver.de with local (Exim 3.35 #1)
id 19CStm-0003Bt-00
for [e-mail]; Mon, 05 May 2003 01:28:02 +0200

Du erste Recieved Zeile sagt ja folgendes:

from mail by mxng12.kundenserver.de with local

Die Nachricht wurde also nicht via SMTP eingeliefert. Hast du auf mxng12 einen Shell Zugang und die Mail dadurch verschickt? Oder liegt auf diesem Server irgendein CGI Script von dir welches Mails versendet?

Die Mail kam auf jeden Fall nicht von deinem Mailprogramm.

Viele Grüße,

Stefan

[Sebastian Schimpf]

Wenn ich euch jetzt unter die Augen treten müsste, würde ich vor pein rot werden :o}

Die Antwort auf die Frage für die ominöse E-Mail:
Ihr wisst es bestimmt schon! Ich war im Urlaub und habe vorher etwas mit meiner E-Mail-Konfig rumgespielt ... arg, und dabei eine KLEINIGKEIT vergessen.

Ich hoffe ihr hattet eine interessante Konversation und der Austausch war nicht umsonst. Danke an alle, die sich die Mühe gemacht haben.

Ich hoffe ich bin nun nicht einer der Idioten dieses Forums, sorry!!!

Einen freundlichen Gruß sendet euch Sebastian
(aus dem plattdeutschen! Norden)

[Henryk Plötz]

Moin,

Ich bin daraus nicht schlau geworden!
Zur Info, ich bin bei 1und1!

Da steht: Ein Rechner namens mxng12.kundenserver.de will die Mail um 01:28:02 von einem Rechner der sich mail nennt entgegengenommen haben. Anschließend hat er sie an einen Rechner namens moutng.kundenserver.de weitergeleitet, der notiert, dass er die Mail von der IP-Address 212.227.126.139 bekommen hat und der Rechner dort sich als mxng12.kundenserver.de ausgegeben hat. Von dort aus wurde sie dann an den Mailserver von T-Online weitergereicht.

Was mir spanisch vorkommt: mxng12.kundenserver.de hat keinen Nameserver-Eintrag und 212.227.126.139 löst zu mx00.kundenserver.de auf. Das ist mindestens schlecht administriert.

Ausserdem: Die Mail sagt von sich, dass sie eine Antwort auf die Nachricht mit der ID 00e301c31294$c663e0c0$ed9503d9@oemcomputer sei. Solche Angaben werden in der Regel nur von 'richtigen' Mailprogrammen gesetzt. Aus den Headern deiner anderen Mail schließe ich, dass Anne Worbes' Computer sich oemcomputer nennt. Die Vermutung liegt also sehr nahe, dass das hier eine ganz normale Mail ist, die jemand als Antwort auf eine Mail von Anne geschickt hat.

Sie kommt aber mit an Sicherheit grenzender Wahrscheinlichkeit aus dem Netz von Schlund und Partner. Wenn du also Missbrauch vermutest (und nur dann!), musst du dich mit den vollständigen Headern an [e-mail] wenden.

[Andreas Korthaus]

Hi!

Return-Path: <>
Received: from moutng.kundenserver.de ([212.227.126.188]) by mailin04.sul.t-online.com

Von Schlund/1und1 nach T-Online(IP ist definitiv von Schlund/1und1)

with esmtp id 19CSts-15p1tIC; Mon, 5 May 2003 01:28:08 +0200
Received: from [212.227.126.139] (helo=mxng12.kundenserver.de)
by moutng.kundenserver.de with esmtp (Exim 3.35 #1)
id 19CStr-0000PW-00

kundenserver.de und IP ebenfalls von Schlund/1und1

for [e-mail]; Mon, 05 May 2003 01:28:07 +0200
Received: from mail by mxng12.kundenserver.de with local (Exim 3.35 #1)
id 19CStm-0003Bt-00
for [e-mail]; Mon, 05 May 2003 01:28:02 +0200
From: [e-mail] [e-mail]
To: [e-mail]
Subject: weitergeleitet

In-Reply-To: 00e301c31294$c663e0c0$ed9503d9@oemcomputer

was ist das?

Mime-Version: 1.0
Content-Type: text/plain; charset=iso-8859-1
Content-Transfer-Encoding: 8bit
Message-Id: [e-mail]

wieder kundenserver.de

Date: Mon, 05 May 2003 01:28:02 +0200

Ich bin daraus nicht schlau geworden!
Zur Info, ich bin bei 1und1!

Hm, ich bin nicht der große SMTP-Fachmann, aber zumindest ich würde schoneinmal sagen dass die Mail auf alle Fälle von einem 1und1/Schlund Server gesendet wurde, und ich vermute mal dass die keine Server haben über die man ohne Authentifizierung versenden kann, zwar gehen diese Daten meist auch unverschlüsselt durchs Netz, aber ich würde es für am wahrscheinlichsten halten dass die mail von Deinem PC kommt. Wenn ein Virus mails versenden kann, wird er diese mails auch löschen können!
Wenn das öfter auftritt könntest Du Dir mal ethereal1 besorgen und mal ständig mitloggen lassen was so an SMTP-Paketen über die Leitung geht, da kannst Du dann beim nächsten mal nachgucken ob da tatsächlich ne mail von Deinem Rechner gesendet wurde. Wenn nicht dann hat vielleicht jemand Deine Zugangsdaten, oder die eines anderen 1und1/schlund Accounts. Aber vielleicht können aus den Daten einige andere hier mehr rauslesen ;-)

Grüße
Andreas

[Henryk Plötz]

Moin,

Er hat ja schließlich keinen Zugang zu den Einwahldaten von T-Online, so dass er schauen könnte, ob die Absender IP zum Absendezeitpunkt auch wirklich zu deiner Einwahlkennung gehört.

Glücklicherweise NACK. Alle Mails die von T-Online-Einwahlzugängen verschickt werden, haben die angenehme Eigenschaft dass sie mit einem X-Sender-Header versehen sind, welcher die T-Online- und Mitbenutzernummer des eingewählten T-Online-Users enthält. Wie die von Sebastian in seinem Ursprungsthread angegebene Mail übrigens sehr schön zeigt.

(Wenn man will kann man aus den beiden Angaben auch auf den Platz der Homepage des Benutzers auf dem T-Online-Server schließen und mit etwas Glück liegt dort auch eine .impressum.html welche die vollständigen Kontaktdaten des Benutzers enthält. Sehr nett sowas, wenn man zum Beispiel Würmer kriegt.)

[Stefan Bach]

Hallo,

Er hat ja schließlich keinen Zugang zu den Einwahldaten von T-Online

Glücklicherweise NACK. Alle Mails die von T-Online-Einwahlzugängen verschickt werden, haben die angenehme Eigenschaft dass sie mit einem X-Sender-Header versehen sind

Ach die machen das immer noch? Wusst ich gar nicht. Aber es wird ja auch kein T-Online Kunde gezwungen seine Mails über deren Relay auszuliefern. Also alleine das Fehlen dieses Headers hat noch nichts zu heißen.

Viele Grüße,

Stefan

[mamue]

hallo sebastian,

1. hast du schon mal an einen virus gedacht?

2. dass es den anschein hat, dass ein e-mail von dir weitergeleitet wurde, bedeutet noch nicht zwangsläufig, dass dies auch tatsächlich so ist; so kann ein virus, der bei einem dritten 'wütet', bei dem du im adressbuch stehst, ein e-mail generieren, das vorgibt, von dir zu sein ...

3. details können vielleicht profis sagen, die aus den header-zeilen aufschlussreiche infos herauslesen können; leider kann ich damit nicht dienen ...

mfg
mamue

[Sebastian]

Hallo Mamue,

schon mal danke für die Anregungen!
Ich hoffe, es ist kein Virus auf meiner Platte.
Ich habe auch schon daran gedacht. Bis jetzt bin ich immer
davon verschont geblieben. klopf, klopf, klopf (auf Holz!)

gruß
Sebastian

[Ole]

hi

Ich hoffe, es ist kein Virus auf meiner Platte.
Ich habe auch schon daran gedacht. Bis jetzt bin ich immer
davon verschont geblieben. klopf, klopf, klopf (auf Holz!)

um keinen verdacht haben zu müssen, sondern gewissheit sollte man grundsätzlich einen virenscanner laufen haben. :)

so long
ole
(8-)>

[Sebastian]

Hi,

um keinen verdacht haben zu müssen, sondern gewissheit sollte man grundsätzlich einen virenscanner laufen haben. :)

Das habe ich!
Doch die sind nicht immer auf dem neuesten Stand und können es auch nicht sein! Also, sicher ist man leider nie. Aber, spannend ist es ja irgenwie auch ;-)

Gruß
ZAB

[Ole]

hi

Das habe ich!
Doch die sind nicht immer auf dem neuesten Stand und können es auch nicht sein! Also, sicher ist man leider nie. Aber, spannend ist es ja irgenwie auch ;-)

die meisten virenscanner kann man fast täglich updaten (mind. aber ein mal die woche) was schon recht aktuell ist, allerdings muß man das dann auch konsequent machen.

den nervenkitzel kann ich mir gut sparen, da hab ich echt kein bock drauf.

so long
ole
(8-)>

[Stefan Einspender]

Hallo Sebastian,

Envelope-to: [e-mail]
Delivery-date: Mon, 05 May 2003 01:21:12 +0200
Received: from [194.25.134.83] (helo=mailout07.sul.t-online.com)
by mxng03.kundenserver.de with esmtp (Exim 3.35 #1)
id 19CSn7-0001a3-00
for [e-mail]; Mon, 05 May 2003 01:21:09 +0200
Received: from fwd04.sul.t-online.de
by mailout07.sul.t-online.com with smtp
id 19CSn6-0000rM-02; Mon, 05 May 2003 01:21:08 +0200
Received: from oemcomputer (520059231418-0001@[217.3.149.237]) by fwd04.sul.t-online.com
with smtp id 19CSn2-0kqdbkC; Mon, 5 May 2003 01:21:04 +0200

habe mal die Header-Zeilen gelassen, die, soweit ich weiß, nicht
gefälscht werden können. Wobei bei den Received-Blöcken noch an-
zumerken ist, dass da sehr wohl einer nicht stimmen kann, müßte
man von oben nach unten analysieren, ob die e-Mail auch wirklich
über diese Server gegangen ist. Die restlichen Header-Zeilen
stimmen bei diesem Beispiel vermutlich, aber sie müssen es nicht.

Viele Grüße,
Stefan

PS: http://www.th-h.de/faq/headerfaq.php3