Email Forensik

Re: [stmik_abg] Kiriman email dari 202.148.4.235
Dear pak puji,Sy mau nanya masalah pengguanaan email address oranglain, Sepengetahuan sy kalau orang mau ngirim emailpake SMTP dan harus punya user beserta passwordnya.Seandainya bukan dikomputer yang ...bblm.co.id atauachmad_mail@yahoo.com mungkin dikomputer lain yangsudah terseting Mail (POP,SMTP,user&pass). Sy pernahkejadian serupa waktu masih di PT.EWINDO, waktu itu symengexecute file exe (maklum belum tahu dan belummature di IT), sehingga seluruh email addrees yang adadi mailbox sy (dikantor)dikirimin file yg sama, sydapat komplain(malu kalau ditulis dim*r*hin) dariseluruh manager (apalagi yg jepangnya, kadang2 diamemaki pake bahasa dia.... untung ada teman juga ygkena m*r*h) close case!!. Tapi merujuk pada informasi bapak kayaknya bukan dari2 cara diatas. karena bukan berasal dari tempat yangbapak kenali. Nah........ berarti virusnya bisamencuri username,passs,seting dll. 1-Apakah virus skr bisa beranomali seperi itu ? 2-apakah caranya hijaking, phising, IPSpoofing atauyang lain sehingga dapat user/pass/seting? 3-Apakah virus ini berada dalam tipe virus polimorfis? 4-yang terakhir kira2 nama virus & variannya (jikamemunyai varian) apa ya ?Pertanyaan sy diatas didasarkan pada pengiriman emailmembutuhkan seting (user/pass/pop dll). Jika salahdasar pemikiran sy kira2 bagaimana caranya virus tsbbisa mengirim email pake email address orang lain.

elkindi


--- Puji Hartono wrote:> Assalamu'alaikum warahmatullahi wabarakatuh> > > > Beberapa hari terakhir ini, milis stmik_abg> dibanjiri spam berisi virus yang seolah-olah berasal> dari puji@bblm.go.id, kemudian muncul juga> seolah-olah dari achmad_mail@yahoo.com.> > > > Dugaan saya.> > Ada member milis yang PCnya terinveksi spam engine > sehingga spam engine tersebut memanfaatkan mail> server di lingkungannya, yakni 202.148.4.235 untuk> menggenerate email. Spam engine tersebut telah> mengantongi setidak-tidaknya alamat email:> stmik_abg@yahoogroups.com, puji@bblm.go.id,> achmad_mail@yahoo.com> > > > Mohon bagi yang menggunakan mail server> 202.148.4.235 di harap mengecek PCnya dari> kemungkinan terinfeksi spam engine.> > > > Berikut header email spam tersebut> > ***********************************************> > X-Originating-IP: 202.148.4.235> > X-eGroups-Msg-Info: 2:3:4:0> > From: "puji" puji@bblm.go.id> > ***********************************************> > X-Originating-IP: 202.148.4.235> > X-eGroups-Msg-Info: 2:3:4:0> > From: "achmad_mail" achmad_mail@yahoo.com> > ***********************************************> > > > > > Dan ini pemilik mesin 202.148.4.235> > ***********************************************> > [root@bblm ~]# whois 202.148.4.235> > [Querying whois.apnic.net]> > [whois.apnic.net]> > % [whois.apnic.net node-2]> > % Whois data copyright terms > http://www.apnic.net/db/dbcopyright.html> > > > inetnum: 202.148.4.232 - 202.148.4.239> > netname: Inixindo> > country: ID> > descr: Inixindo Persada Rekayasa> > descr: Permata Senayan Jakarta Selatan> > descr: Jakarta> > descr: Jakarta> > admin-c: HD16-AP> > tech-c: HD16-AP> > status: ASSIGNED NON-PORTABLE> > changed: hostmaster@dnet.net.id 20060623> > mnt-by: NOC-ID-DNET> > source: APNIC> > > > person: Hostmaster Dnet> > address: PT. Dyviacom Intrabumi, Tbk (DNET)> > address: Menara Batavia 6th Floor> > address: Jl. KH. Mas Mansyur Kav. 126> > address: Jakarta - Indonesia (10220)> > country: ID> > phone: +62-21-572-7218> > fax-no: +62-21-572-7212> > e-mail: hostmaster@dnet.net.id> > nic-hdl: HD16-AP> > mnt-by: NOC-ID-DNET> > changed: pampi@dnet.net.id 20010814> > source: APNIC