Wie kann ich herausfinden, woher eine E-Mail wirklich kommt?

Siehe unten für ein Beispiel eines Betrugs, der mir geschickt wurde, indem er vorgab, von meiner Freundin zu sein, behauptete, sie sei ausgeraubt worden und bat mich um finanzielle Hilfe. Ich habe die Namen geändert - ich bin "Bill" und der Betrüger hat eine E-Mail an [email protected] gesendet, die vorgibt, [email protected] zu sein. Beachten Sie, dass Bill seine E-Mail an [email protected] weiterleitet.

Klicken Sie zunächst in Google Mail auf show original:

Die vollständige E-Mail und ihre Header werden geöffnet:

Delivered-To: [email protected]
Received: by 10.64.21.33 with SMTP id s1csp177937iee;
        Mon, 8 Jul 2013 04:11:00 -0700 (PDT)
X-Received: by 10.14.47.73 with SMTP id s49mr24756966eeb.71.1373281860071;
        Mon, 08 Jul 2013 04:11:00 -0700 (PDT)
Return-Path: <[email protected]>
Received: from maxipes.logix.cz (maxipes.logix.cz. [2a01:348:0:6:5d59:50c3:0:b0b1])
        by mx.google.com with ESMTPS id j47si6975462eeg.108.2013.07.08.04.10.59
        for <[email protected]>
        (version=TLSv1 cipher=RC4-SHA bits=128/128);
        Mon, 08 Jul 2013 04:11:00 -0700 (PDT)
Received-SPF: neutral (google.com: 2a01:348:0:6:5d59:50c3:0:b0b1 is neither permitted nor denied by best guess record for domain of [email protected]) client-ip=2a01:348:0:6:5d59:50c3:0:b0b1;
Authentication-Results: mx.google.com;
       spf=neutral (google.com: 2a01:348:0:6:5d59:50c3:0:b0b1 is neither permitted nor denied by best guess record for domain of [email protected]) [email protected]
Received: by maxipes.logix.cz (Postfix, from userid 604)
    id C923E5D3A45; Mon,  8 Jul 2013 23:10:50 +1200 (NZST)
X-Original-To: [email protected]
X-Greylist: delayed 00:06:34 by SQLgrey-1.8.0-rc1
Received: from elasmtp-curtail.atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64])
    by maxipes.logix.cz (Postfix) with ESMTP id B43175D3A44
    for <[email protected]>; Mon,  8 Jul 2013 23:10:48 +1200 (NZST)
Received: from [168.62.170.129] (helo=laurence39)
    by elasmtp-curtail.atl.sa.earthlink.net with esmtpa (Exim 4.67)
    (envelope-from <[email protected]>)
    id 1Uw98w-0006KI-6y
    for [email protected]; Mon, 08 Jul 2013 06:58:06 -0400
From: "Alice" <[email protected]>
Subject: Terrible Travel Issue.....Kindly reply ASAP
To: [email protected]
Content-Type: multipart/alternative; boundary="jtkoS2PA6LIOS7nZ3bDeIHwhuXF=_9jxn70"
MIME-Version: 1.0
Reply-To: [email protected]
Date: Mon, 8 Jul 2013 10:58:06 +0000
Message-ID: <[email protected]>
X-ELNK-Trace: 52111ec6c5e88d9189cb21dbd10cbf767e972de0d01da940e632614284761929eac30959a519613a350badd9bab72f9c350badd9bab72f9c350badd9bab72f9c
X-Originating-IP: 168.62.170.129

[... I have cut the email body ...]

Die Header sind chronologisch auszulesen von unten nach oben-die ältesten sind unten. Jeder neue Server auf dem Weg fügt seine eigene Nachricht hinzu - beginnend mit Received. Beispiel:

Received: from maxipes.logix.cz (maxipes.logix.cz. [2a01:348:0:6:5d59:50c3:0:b0b1])
        by mx.google.com with ESMTPS id j47si6975462eeg.108.2013.07.08.04.10.59
        for <[email protected]>
        (version=TLSv1 cipher=RC4-SHA bits=128/128);
        Mon, 08 Jul 2013 04:11:00 -0700 (PDT)

Dies besagt, dass mx.google.com die Post von maxipes.logix.cz bei Mon, 08 Jul 2013 04:11:00 -0700 (PDT) erhalten hat.

Um nun den [[37]}echten [[38]} Absender Ihrer E-Mail zu finden, müssen Sie beim Lesen der Header von oben den frühesten vertrauenswürdigen Gateway - Last finden. Beginnen wir damit, Bills Mailserver zu finden. Fragen Sie dazu den MX-Datensatz für die Domäne ab. Sie können online-tools wie Mx Toolbox, oder unter Linux können Sie es in der Befehlszeile abfragen (beachten Sie, dass der echte Domänenname in geändert wurde domain.com):

~$ host -t MX domain.com
domain.com               MX      10 broucek.logix.cz
domain.com               MX      5 maxipes.logix.cz

Und Sie sehen den Mailserver für domain.com ist maxipes.logix.cz oder broucek.logix.cz. Daher ist der letzte (erste chronologisch) vertrauenswürdige "Hop" - oder der letzte vertrauenswürdige "Received record" oder wie auch immer Sie es nennen - dieser:

Received: from elasmtp-curtail.atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64])
    by maxipes.logix.cz (Postfix) with ESMTP id B43175D3A44
    for <[email protected]>; Mon,  8 Jul 2013 23:10:48 +1200 (NZST)

Sie können dem vertrauen, weil es von Bills Mailserver für domain.com aufgezeichnet wurde. Dieser Server hat es von 209.86.89.64. Dies könnte sein, und sehr oft ist, die reale absender der E-Mail - in diesem Fall der Betrüger! Sie können diese IP auf einer schwarzen Liste überprüfen. - Sehen Sie, er ist in 3 schwarzen Listen aufgeführt! Es gibt noch einen weiteren Rekord darunter:

Received: from [168.62.170.129] (helo=laurence39)
    by elasmtp-curtail.atl.sa.earthlink.net with esmtpa (Exim 4.67)
    (envelope-from <[email protected]>)
    id 1Uw98w-0006KI-6y
    for [email protected]; Mon, 08 Jul 2013 06:58:06 -0400

Aber sei vorsichtig, vertraue darauf, dass dies die wahre Quelle der E-Mail ist. Die Blacklist-Beschwerde könnte nur vom Betrüger hinzugefügt werden, um seine Spuren auszulöschen und/oder eine falsche Spur zu hinterlassen. Es besteht immer noch die Möglichkeit, dass der Server 209.86.89.64 unschuldig ist und nur ein Relais für den echten Angreifer bei 168.62.170.129. In dieser Fall, 168.62.170.129 ist sauber also können wir fast sicher sein, dass der Angriff von 209.86.89.64 ausgeführt wurde.

Ein Weiterer Punkt zu beachten ist, dass Alice Yahoo! ([email protected]) und elasmtp-curtail.atl.sa.earthlink.net ist nicht auf Yahoo! netzwerk (möglicherweise möchten Sie die IP-Whois-Informationen erneut überprüfen). Daher können wir sicher zu dem Schluss kommen, dass diese E-Mail nicht von Alice stammt und wir ihr kein Geld auf die Philippinen schicken sollten.