Vous avez une question ?
Interrogez la communauté
internet & fixe
Bonjour (re)
@orkam a écrit :
En corollaire, comment ces arnaqueurs arrivent-ils à utiliser une adresse mail d'expédition aussi crédible que : boutique.orange.fr <contact@assistance.orange.fr> ?
C'est super facile à faire, simplement parce que le champ émetteur est purement documentaire.
Il ne sert à rien pour les protocoles de le messagerie.
Donc tu as le droit d'y mettre absolument tout ce que tu veux, même de qui abuser les destinataires.
Certains opérateurs commencent à refuser ce genre de deux. Mais c'est encore très timide.
Je me suis un jour envoyé un message de moi à moi, mais j'ai bricolé sans aucun outil spécial, secret ou maléfique et voilà ce que j'ai reçu
Et pourtant quand on regarde l'en-tête détaillée du message, (j'ai laissé le code complet de tout le message) reçu voila ce qu'on y trouve :
From - Tue Nov 26 08:48:39 2019 X-Account-Key: account4 X-UIDL: 1305737464.75074 X-Mozilla-Status: 0001 X-Mozilla-Status2: 00000000 X-Mozilla-Keys: Return-Path: <santa@northpole.fr> Received: from mwinf5d39 (mwinf5c39 [10.223.111.89]) by mwinb0502 with LMTPA; Sun, 24 Nov 2019 15:34:34 +0100 X-Sieve: CMU Sieve 2.3 Received: from [192.168.1.12] ([86.246.99.90]) by mwinf5d39 with ME id Vqaa2100B1x0q9S03qaaea; Sun, 24 Nov 2019 15:34:34 +0100 X-ME-User-Auth: xxxxxxx.xxxxx@orange.fr X-bcc: xxxxxxx.xxxxx@orange.fr X-me-spamcause: (0)(0000)gggruggvucftvghtrhhoucdtuddrgedufedrudehkedgieeiucetufdoteggodetrfdotffvucfrrhhofhhilhgvmecuoffgpdggtffipffkpdfqfgfvnecuuegrihhlohhuthemucegtddtnecunecujfgurhephffukffffgggvfgtgfesthejredttdefjeenucfhrhhomheprfoqrhgvucfpohotlhcumjjmuceoufgrnhhtrgespfhorhhthhfrohhlvgdrfhhrqeenucfkphepkeeirddvgeeirdelledrledtnecurfgrrhgrmhephhgvlhhopegludelvddrudeikedruddruddvngdpihhnvghtpeekiedrvdegiedrleelrdeltddpmhgrihhlfhhrohhmpehsrghnthgrsehnohhrthhhphholhgvrdhfrhdprhgtphhtthhopehphhhilhhiphhpvgdrshhoihhshiesohhrrghnghgvrdhfrhenucevlhhushhtvghrufhiiigvpedt X-me-spamlevel: not-spam X-ME-bounce-domain: orange.fr X-ME-Helo: [192.168.1.12] X-ME-Auth: cGhpbGlwcGUuc29pc3lAb3JhbmdlLmZy X-ME-Date: Sun, 24 Nov 2019 15:34:34 +0100 X-ME-IP: 86.246.99.90 X-ME-Entity: ofr From: =?UTF-8?B?UMOocmUgTm/Dq2wg8J+OhfCfj7s=?= <Santa@NorthPole.fr> Subject: Message sans destinataire Message-ID: <7dd8643a-e3c3-d883-2ed6-6a3e985ebb0d@NorthPole.Lao> Date: Sun, 24 Nov 2019 15:34:33 +0100 User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:68.0) Gecko/20100101 Thunderbird/68.2.2 MIME-Version: 1.0 To: destinataires inconnus: ; Content-Type: text/plain; charset=utf-8; format=flowed Content-Language: fr Content-Transfer-Encoding: 7bit Bonjour, ceci est un message de test sans destinataire
Comment y retrouver le vrai du faux :
La trace du message se lit en partant du bas. se lit
On y trouve l'adresse mail de ma machine à l'époque, elle a changé depuis.
1 La création du message
From: =?UTF-8?B?UMOocmUgTm/Dq2wg8J+OhfCfj7s=?= <Santa@NorthPole.fr> Subject: Message sans destinataire Message-ID: <7dd8643a-e3c3-d883-2ed6-6a3e985ebb0d@NorthPole.Lao> Date: Sun, 24 Nov 2019 15:34:33 +0100 User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:68.0) Gecko/20100101 Thunderbird/68.2.2 MIME-Version: 1.0
Le message a été créé le 24/11/19 à 15:34 (heure d'hiver de Paris) avec le logiciel Thunderbird en version 68.2.2.
Il na pas des destinataires visibles, il a donc été émis avec tous ses destinataires en copie cachée
2 Dans la séquence :
Received: from [192.168.1.12] ([86.246.99.90]) by mwinf5d39 with ME id Vqaa2100B1x0q9S03qaaea; Sun, 24 Nov 2019 15:34:34 +0100 X-ME-User-Auth: xxxxxxxx.xxxxxy@orange.fr X-bcc: xxxxxxxx.xxxxx@orange.fr X-me-spamcause: (0)(0000)gggruggvucftvghtrhhoucdtuddrgedufedrudehkedgieeiucetufdoteggodetrfdotffvucfrrhhofhhilhgvmecuoffgpdggtffipffkpdfqfgfvnecuuegrihhlohhuthemucegtddtnecunecujfgurhephffukffffgggvfgtgfesthejredttdefjeenucfhrhhomheprfoqrhgvucfpohotlhcumjjmuceoufgrnhhtrgespfhorhhthhfrohhlvgdrfhhrqeenucfkphepkeeirddvgeeirdelledrledtnecurfgrrhgrmhephhgvlhhopegludelvddrudeikedruddruddvngdpihhnvghtpeekiedrvdegiedrleelrdeltddpmhgrihhlfhhrohhmpehsrghnthgrsehnohhrthhhphholhgvrdhfrhdprhgtphhtthhopehphhhilhhiphhpvgdrshhoihhshiesohhrrghnghgvrdhfrhenucevlhhushhtvghrufhiiigvpedt X-me-spamlevel: not-spam X-ME-bounce-domain: orange.fr
On a la trace du serveur SMTP d'Orange (mwinf5d39 ) il a reçu le message le 24/11 à 15:34:34 provenant de ma machine avec ses deux adresses ('son adresse locale et son adresse vue d'internet)
On y trouve le nom d'utilisateur qui a servi à l'authentification, celui là n'est pas camouflable dans le champ X-ME-User-auth et le nom du destinataire, la même adresse (la mienne) dans le champ X-bcc. Ceux là je les camoufle ici.
3 la réception du message :
Le serveur SMTP d'Orange l'a repassé directement à un autre serveur d'Orange pour le déposer dans ma mail, il n'y a pas la trace de réception chez un autre opérateur. On ne voit que les adresses locales (chez Orange) de ces serveurs.
Received: from mwinf5d39 (mwinf5c39 [10.223.111.89]) by mwinb0502 with LMTPA; Sun, 24 Nov 2019 15:34:34 +0100 X-Sieve: CMU Sieve 2.3
Le message est reçu par le serveur Orange mwinb0502 venant du serveur mwinf5d39 à 15:34:34 le 24/11, toujours.
4 Thunderbird est allé cherché le message un peu plus tard
From - Tue Nov 26 08:48:39 2019 X-Account-Key: account4 X-UIDL: 1305737464.75074 X-Mozilla-Status: 0001 X-Mozilla-Status2: 00000000 X-Mozilla-Keys: Return-Path: <santa@northpole.fr>
Le message a été placé dans le compte numéro 4 du Thunderbird de ma tour fixe.
Il a été réceptionné, le 26 Nov un peu avant 9h du matin.
L'adresse apparente de retour est bien l'adresse bidon du père Noel que j'avais forcée.
Ce petit exercice de décodage est bien incomplet, je ne sais pas tout interpréter, mais je sais y retrouver les émetteurs et les data/heure de réceptions. On peut y trouver les fuseaux horaires. Et on y retrouve, avec une certaine habitude les adresses IP et noms vrais qui s'y trouvent.
Quand tu as un doute sur un message, si ça ne tombe pas dans un modèle connu (ici c'est le cas) tu peux lever l'ambiguité en analysant l'en-tête complète du message.
Cordialement
PhilDur