E-Mail Header analysieren

[Chef32]

Hallo, Leute, ich habe eine Frage bezgl. der Analyse eines E-Mail Headers.
Ich habe die E-Mail bereits analysiert, manuell und mit Hilfe dieser Seite.

Zur Ausgangssituation:

Es wird vermutet, dass sich der Sender der E-Mail irgendwo im Ausland befindet. Jedoch wurde nach der Analyse festgestellt, dass definitiv eine deutsche IP Adresse aus einem bestimmten Bundesland verwendet wird. Außer der IP Adressen der Gmx Server war keine andere auslädnische E-Mail Adresse vorhanden.
Zudem wurde eine andere E-Mail (zu diesem Zeitpunkt war sicher, dass sich der Sender im Inland befindet) analysiert. Es stimmen beide Ergebnisse überein, d.h. sowohl die erste, als auch die letzte E-Mail kamen vom selben Provider (z.B. KabelDeutschland - dies ist aber nur ein Beispiel, es handelt sic hnicht um diesen Provider).
Gibt es einen Zweifel, dass sich der Sender im Inland befindet? Da eine deutsche IP Adresse aus einem Bundesland verwendet wurde (durch Zufall stimmt bei "Utrace" soagr auch noch die Stadt) halte ich es für ausgeschlossen, dass sich der Sender irgendwo auf Übersee befindet.
Theoretisch hätte er jemanden aus seiner Familie biotten könne, in seinem Namen eine E-Mail zu versenden, auch könnte er sich über TeamViewer (mit einem festen Konto) bei sich zu Hause einloggen (wenn der PC an wäre) und darüber eine E-Mail versenden, doch das würde alles keinen Sinn machen.
Gibt es außer diesen "Möglichkeiten" noch eine andere? Ich denke nicht.
Ich bitte um antworten. DANKE!

 

[bitmuncher]

Trojaner bei einem ahnungslosen Opfer einschleusen und darüber senden.

 

[Chef32]

Das wäer sicher eine Möglichkeit. Jedoch wird dies kaum der Fall sein. Gibt es außerdem noch eine Möglichkeit?? Ich denke, man kann sagen, dass sich der Sender im Inland befindet. Wir setzen einmal voraus, dass keine Kompromittierung vorliegt und man sich auch nicht auf den Heim PC einloggt.

 

[kaputtnik]

Eine VPN-Verbindung wäre auch denkbar.

Ich frag mich allerdings, was daran so wichtig sein soll, dass du erst hier einen Thread startest, den dann bereits nach 4h pushen musst und dich schließlich noch zu einem Crossposting hinreißen lässt.

 

[Chakky]

Das wäer sicher eine Möglichkeit. Jedoch wird dies kaum der Fall sein.

Weil?

 

[CDW]

Hm, Trojaner braucht man dazu schon lange nicht mehr.
Microsoft: Zahl der infizierten Rechner in Deutschland verdoppelt | heise Security

Standardfunktion jedes Kiddy-Bots seit ca 2010 (da wurde ein Reverse Socks5 in c# veröffentlicht ) ist ein "ReverseSocks". Bei Zeus, SpyEye sowieso dabei. Vorher wurde die UPNP funktion des Routers verwendet (was auch oft genug per Default eingeschaltet ist:
Millionen Geräte über UPnP angreifbar | heise Security )

Kurz beschrieben: der infizierte Rechner dient als Proxy. Ich kann zwar keine genauen Zahlen liefern, aber 3/4, wenn nicht noch mehr, "Scene-VPNs", die man erweben kann, bauen auf diesem Pool auf.

Das "Feature", IPs aus einem bestimmten Land zu bekommen, besteht natürlich auch (wichtig für's erfolgreiche Carden ). Der Absender muss also niemand irgendwie extra infizieren, sondern sich einen VPN Zugang kaufen und die Daten als Proxy eintragen. Oder ein offenes WLAN suchen.

PS: TOR, JAP & Co gibt es natürlich auch.

109.192.185.170 charon NO Germany Kabel BW
109.193.148.27 n00b YES Germany Kabel BW
109.193.162.10 1337Relay NO Germany Kabel BW
91.**.***.** tincan YES Germany Kabel Deutschland
77.**.***.*** massivo YES Germany Kabel Deutschland
85.***.**.*** wuschl YES Anonymous Proxy Kabel BW
78.**.*.*** anonymous YES Germany Kabel BW
78.**.**.*** AnonymTorProxy NO Germany Kabel BW
78.**.**.*** AnKeExit YES Germany Kabel BW

Nur als Beispiel.

 

[Chef32]

Weil?

Weil es keinen Sinn machen würde. Ich habe an jemanden eine E-Mail gesendet, er hat geantwortet. Es macht also kein Sinn, wenn die E-Mail über einen Trojaner versendet wird, er hat keinen Grund, seine Identität zu verschleiern. Zudem weiß er gerade einmal so, wie er den PC einzuschalten hat, er ist Laie wie er im Buche steht.
Dass der PC in Übersee kompromittiert ist, ist ebenfalls auszuschließen, da der Rechner zu Hause ebenfalls denselben ISP nutzt. Außerdem müsste es dann so sein, dass, wenn ein Trojaner auf dem Rechner wäre, der C&C Server rein zufällig auch noch in der Stadt wäre, aus der er tatsächlich kommt und denselben ISP nutzt. Zudem müsste auch der Heim Pc (sollte er tatsächlich im Ausland sein) exakt dieselbe Kompromittierung aufweisen, da der Anbieter (und Ort, je nach Genauigkeit) übereinstimmt. Das ist ausgeschlossen.

Auch wird defintiv kein Proxy genutzt, ich habe die IP Adresse zurückverfolgt und festgestellt, wie der Anbieter heißt - es ist kein Tor Exit Node oder sonst was.

Das "Feature", IPs aus einem bestimmten Land zu bekommen, besteht natürlich auch (wichtig für's erfolgreiche Carden ). Der Absender muss also niemand irgendwie extra infizieren, sondern sich einen VPN Zugang kaufen und die Daten als Proxy eintragen. Oder ein offenes WLAN suchen.

Leute, das ist alles richtig was ihr sagt, und ich weiß es auch. Es geht nicht darum, was theoretisch möglich wäre mit Proxy, Trojaner etc. -. ich wollte einfach wissen, ob es auch sein kann, dass trotzdem nicht die richtige IP im Header steht, wenn man keinen Proxy, Trojaner usw. verwendet.
be
Kurzum: Es ist nichts infiziert, es wird kein Proxy genutzt - stimmt die IP Adresse? Also außer der IP Adressen von GMX bzw. der Server von GMX?

@ kaputtnik

Und mich würde es interessieren, was es dich angeht, ob ich in mehreren Foren dieselbe Frage stelle oder nicht. Und wer sagt, dass ich diesen Account habe? Ich habe dieselbe bzw. eine ähnliche Frage - bin aber hier angemledet. Man kann kopieren und einfügen.
http://www.hackerboard.de/user/22220

 

[Chromatin]

@Chef32

1. Kannst Du aus einer IP Adresse nicht ableiten welche Person wo und was gemacht hat.

2. Ist die Diskussion voellig ueberfluessig, solange du nicht den Header postest, denn das Vorhandensein von IP Adressen irgendwelcher Mailserver ist voellig irrelevant fuer die Ermittlung des Senders.

Außerdem müsste es dann so sein, dass, wenn ein Trojaner auf dem Rechner wäre, der C&C Server rein zufällig auch noch in der Stadt wäre, aus der er tatsächlich kommt und denselben ISP nutzt.

Du kannst im Header "lediglich" den Weg der Mail nachvollziehen, nicht aber den Weg des Auftrags einer Mail!

Sollte jedoch die "letzte" IP Adresse im Header eine Adresse eines deutschen Anschlusses sein, so wurde auch von diesem Anschluss die Mail gesendet, was nicht bedeutet, dass der Auftrag fuer die Mail (auch in technischer Hinsicht) auch zwangsweise der gleiche Weg sein muss!

Also poste den verdammten Header (ersetze die receives dann eben durch 1.1.1./2.2.2.2 etc ) und nenne uns den ISP. Alles andere ist Zeitverschwendung.

 

[Chef32]

@Chromatin

Jetzt beruhige dich erst mal wieder!

1. Kannst Du aus einer IP Adresse nicht ableiten welche Person wo und was gemacht hat.

Das weiß ich selbst.

2. Ist die Diskussion voellig ueberfluessig, solange du nicht den Header postest, denn das Vorhandensein von IP Adressen irgendwelcher Mailserver ist voellig irrelevant fuer die Ermittlung des Senders

Auch das ist mir bekannt, ich habe es ja selbst gesagt.

Du kannst im Header "lediglich" den Weg der Mail nachvollziehen, nicht aber den Weg des Auftrags einer Mail!

Auch das weiß ich. Aber ich kann das alles ausschließen! Auch Kompromittierunegn und Proxies. Warum ich das kann, das muss man schon mir überlassen.

Sollte jedoch die "letzte" IP Adresse im Header eine Adresse eines deutschen Anschlusses sein, so wurde auch von diesem Anschluss die Mail gesendet, was nicht bedeutet

Du hast zwar vieles gesagt, aber damit auch meine Frage beantwortet und meinen letzten Funken Zweifel ausgeräumt.

dass der Auftrag fuer die Mail (auch in technischer Hinsicht) auch zwangsweise der gleiche Weg sein muss!

Ja, das weiß ich.

Also poste den verdammten Header (ersetze die receives dann eben durch 1.1.1./2.2.2.2 etc ) und nenne uns den ISP. Alles andere ist Zeitverschwendung.

Ich habe den Header jetzt nicht zur Hand. Es handelt sich aber - wie ich festgesteltl habe - doch um einen "Ableger" von Kabel Deutschland, nämlich "dynip superkabel".