Seltsame email (Verschlüsselt?)

beavisbee · Jun 26, 2008

@D31~$0u1: welches Mail-Programm nutzt du? (Thunderbird? Pegasus Mail? klickibunti-IncrediMail? Outlook? Outlook Express? ...) Oder nutzt du das Web-Interface des Anbieters, wenn ja: wo hast du deine Mail-addy? (web.de? gmx? something else?)

Vieleicht können wir dir dann besser sagen, wie du den Header findest

D31~$0u1 · Jun 26, 2008

Also die mail addy is von gmx... n mail proggi nutz ich net...
gruß, D31~$0u1

lightsaver · Jun 26, 2008

also, bei gmx öffnest du die mail. dann hast du oben (und auch unter der mail) mehrere symbole: speichern, drucken und header drucken. auch wenn die bezeichnung vielleicht irreführend ist, gehst du auf header drucken. bei mir kommt dann ein neues fenster mit den headern, nach denen hier gefragt wurde. die dann nur noch kopieren und fertig

_fux_ · Jun 27, 2008

Original von +++ATH0
Also was haben wir für Indizien:

Mail ging an alle in der Klasse

Mail kam kurz nach der Rundmail an die Klasse an

Mail beinhaltet "leetspeak". Charakteristisch für Schüler, die sich einen Scherz erlauben wollen

Mail beinhaltet eine Phrase, die dem "Opfer" Kopfzerbrechen bereitet und möglicherweise bei unerfahrenen Benutzern auch etwas Angst. ("Bin ich nun infiziert?")

Mail beinhaltet höchtwahrscheinlich grosse sich wiederholende Mengen an sinnlosem Tastaturgeklimpere. Der Sinn dabei ist wahrscheinlich dem "Opfer" einen gefährlichen "Datenstrom" optisch zu suggerieren.

Meine conclusio ist deshalb:
Es handelt sich um ein Klassenmitglied, das sich spontan aus der Situation heraus einen Scherz erlaubte. Der in meinen Augen passende Terminus für diese Aktion ist ein "Hoax".

* word!

D31~$0u1 · Jun 28, 2008

also, hier der Header:

Return-Path: <securex@xail.rohwerder-hinz.net>
X-Flags: 1001
Delivered-To: GMX delivery to (mailadresse von kumpel)@gmx.net
Received: (qmail invoked by alias); 01 Jun 2008 11:48:47 -0000
Received: from xail-storage.rohwerder-hinz.net (EHLO xail02.rohwerder-hinz.net) [85.88.11.137]
by mx0.gmx.net (mx093) with SMTP; 01 Jun 2008 13:48:47 +0200
Received: from www-data by xail02.rohwerder-hinz.net with local (Exim 4.63)
(envelope-from <securex@xail.rohwerder-hinz.net>)
id 1K2m3D-0002LH-NF; Sun, 01 Jun 2008 13:48:39 +0200
To: (Wie gesagt kann ich net kopieren)
Subject: you were 0wn3d
Date: Sun, 1 Jun 2008 13:48:39 +0200
From: Root User <0wn3d@n00b.com>
Message-ID: <3b6c5430375dd9d3a691b6a75cddcef9@securex.xail.net>
X-Priority: 3
X-Mailer: PHPMailer [version 1.73]
MIME-Version: 1.0
Content-Transfer-Encoding: 8bit
Content-Type: text/html; charset="iso-8859-1"
X-GMX-Antivirus: -1 (not scanned, may not use virus scanner)
X-GMX-Antispam: 0 (Mail was not recognized as spam)
X-GMX-UID: 9sgIDzdta2A6TrVYknUyESUyOWhhaoeZ

zero-9 · Jun 28, 2008

hmm, komisch also mit den adressen kann ich nix anfangen. xail.rohwerder-hinz.net führt mich zum hostinganbieter Xail.
rohwerder-hinz.net führt mich zu der seiten eines angeblichen IT-Unternehmes, welches wahrscheinlich gar nciht existiert, da die seite wohl ein bisschen zu "schlicht" geraten ist. auch google liefert nicht wirklich was brauchbares.

Edit: Ja, ein Whois wäre wohl noch sinnvoll gewesen. Danke, Beavisbee.

beavisbee · Jun 28, 2008

xail.net ist ein Projekt von Rohwerder-Hinz Datasystems (und beide Seiten liegen auf dem gleichen Server, Standort Köln)

Die dubiose Mail kam wahrscheinlich von einer von Xail gehosteten Seite.

Knoxx · Jun 28, 2008

Hab von Mailheadern nicht ganz soviel Ahnung.

Wenn ich das nun richtig verstanden habe, hat der Rechner xail02.rohwerder-hinz.net mit der IP (85.88.11.137) am 1. Juni 2008 um 11:48:47 Uhr über ein PHP-Script Mails an den Mailserver xail-storage.rohwerder-hinz.net gesendet, der dann die Mails an die Schüler zugestellt hat.

Sprich, ein Schüler hat ein PHP-Script erstellt, in dem er die PHP-interne Mail-Funktion missbraucht hat um andere Schüler zu zuspammen. Da man der Mail-Funktion sämtliche Parameter übergeben kann, war es auch kein Problem die Absender-Adresse zu fälschen.

beavisbee · Jun 29, 2008

und um heraus zu bekommen, wer die Mail verschickt hat, schaust du in der Empfänger-Liste der allerersten Rund-Mail (die von nem Lehrer kam, wenn ich mich recht erinnere - bin jetzt zu faul, den Text nochma von vorn zu lesen...) ob da irgend jemand ne Mail-Adresse hatte, die nicht @gmx.de @freenet.de @t-online.de etc. ist, sondern @[EIGENE-DOMAIN.TDL]

und dann gehst du auf http://whois.domaintools.com/, gibst diese Domain ein und schaust, ob in dem WHOIS-Record irgendwo bei Tech-C oder Zone-C mal xail.net oder rohwerder-hinz.net auftaucht.

wenn ja, würde ich mit ziemlich hoher Wahrscheinlichkeit davon ausgehen, dass dieser die Spam-Mail geschickt hat.

Kannst, wenn du dir sicher bist, wer es war, deine Erkenntnisse ja mal an alle Mail-Empfänger dieser Spam-Mail schicken und auffordern, dass sich alle bei ihm für die Spammerei "bedanken" sollen... mal schauen, wie er dann reagiert, wenn er sieht, dass er bei weitem nicht so anonym ist, wie er dachte...

D31~$0u1 · Jun 29, 2008

Also, ich hab grade gesagt bekommen, dass der Lehrer die mails schon bekommen hat BEVOR er die rundmail geschickt hat, also noch BEVOR er die mail addys von der klasse hatte.
Könnt es sein, dass er vllt n teil von nem botnetz ist? (ohne es zu wissen)

Knoxx · Jun 29, 2008

Received: from www-data by xail02.rohwerder-hinz.net with local (Exim 4.63)

Wenn man die Adresse xail02.rohwerder-hinz.net im Browser aufruft wird man auf die Domain "xail.net" umgeleitet und dort kann man dann kostenlosen Webspace mieten.

Nach genaueren hinschaun sieht man, dass xail, xail02, xail03, xail04, xail05, xail06 die Kundenserver sind (siehe hier). Ein Schüler hat dort wohl einen Account, hat sich ein PHP-Script erstellt und damit dann die Leute zugebombt.

Auf jeden Fall kannst du dich hier beschweren: http://www.xail.net/index.php?aktion=kontakt oder schreib eine Mail an: verwaltung{at}xail{dot}net. Vergiss dabei nicht den Mailheader mitzusenden, damit sie den Fall zurückverfolgen können und der besagte User gesperrt wird.

@beavisbee:
So wie die Seite von xail.net aussieht bieten sie nicht direkt (v)Server oder Webspace mit Email-Funktionalität an, sondern nur kostenlosen Webspace mit PHP, FTP, Subdomain, etc... man kann anscheinend noch nicht einmal ne TLD dort bestellen.
Ich wäre also sehr vorsichtig bei deiner Vorgehensweise, da es sehr wahrscheinlich den Falschen treffen wird.

Ich glaube auch nicht, dass wir hier nun groß weiterkommen. Aus dem Mailheader lassen sich nicht mehr Informationen gewinnen und wenn du ansonsten keine Hinweise hast, wirst du dich wohl damit abfinden müssen, dass der Schüler unerkannt bleibt aber nach einer Beschwerde bei xail.net deinerseits dort verwarnt bzw gesperrt wird.

//Edit
Irgendwie ist das Firmengeflecht recht verwirrend von denen. Soweit ich das nun richtig auseinander gefriemelt hab ist xail.net eine Vetriebsplattform für Privatleute für kostenlosen Webspace und rohwerder-hinz.net ist scheinbar für Business-Kunden und stellt für xail.net den techn. Hintergrund.