Wskazówka: Plik .eml który możesz rozwinąć poniżej to ten sam plik, który możesz pobrać i otworzyć w Thunderbirdzie. Surowe nagłówki zobaczysz przez menu Widok → Źródło wiadomości.
Return-Path: <bounce-fk311@termika-serwis-faktury.com>Delivered-To: k.mazur@bud-instal.plReceived: from store01.bud-instal.pl (store01.bud-instal.pl [10.10.2.30]) by imap.bud-instal.pl (Dovecot 2.3.21) with LMTP id pXk9L2mQC2hnFwAAqTBRPQ for <k.mazur@bud-instal.pl>; Tue, 22 Apr 2025 09:36:52 +0200 (CEST)Received: from filter01.bud-instal.pl (filter01.bud-instal.pl [10.10.2.12]) by store01.bud-instal.pl (Postfix) with ESMTPS id 4C81E2A0F7 for <k.mazur@bud-instal.pl>; Tue, 22 Apr 2025 09:36:45 +0200 (CEST)Received: from mx1.bud-instal.pl (mx1.bud-instal.pl [91.204.13.6]) by filter01.bud-instal.pl (Postfix) with ESMTPS id 9B36D14C82 for <k.mazur@bud-instal.pl>; Tue, 22 Apr 2025 09:36:38 +0200 (CEST)Received: from mail.termika-serwis-faktury.com (mail.termika-serwis-faktury.com [193.42.108.55]) by mx1.bud-instal.pl (Postfix) with ESMTP id 2F70A93B15 for <k.mazur@bud-instal.pl>; Tue, 22 Apr 2025 09:36:29 +0200 (CEST)Received: from vps-1147.hostexpress-lv.net (unknown [45.135.232.19]) by mail.termika-serwis-faktury.com (Postfix) with ESMTP id 7D24C6E809; Tue, 22 Apr 2025 07:36:14 +0000 (UTC)Received: from localhost (localhost [127.0.0.1]) by vps-1147.hostexpress-lv.net (Postfix) with ESMTP id 1A9F35D0B4; Tue, 22 Apr 2025 07:36:08 +0000 (UTC)Message-ID: <20250422073608.1A9F35D0B4@termika-serwis-faktury.com>Date: Tue, 22 Apr 2025 09:31:14 +0200From: "Termika Serwis Sp. z o.o. — Dział Rozliczeń" <faktury@termika-serwis-faktury.com>Sender: smtp-relay@termika-serwis-faktury.comReply-To: m.wieczorek.termika@gmx.netTo: k.mazur@bud-instal.plSubject: Faktura korekta FK/2025/04/311 — aktualizacja rachunku bankowegoMIME-Version: 1.0Content-Type: text/plain; charset="UTF-8"Content-Transfer-Encoding: 8bitX-Mailer: Advanced Mass Sender 4.3X-Originating-IP: 45.135.232.19X-Priority: 1 (Highest)X-Spam-Status: Yes, score=9.6 required=5.0 tests=BAYES_99,DKIM_ADSP_NXDOMAIN,FREEMAIL_REPLYTO, HDR_ORDER_FTSDMCXX,RCVD_IN_XBL,SPF_FAIL, FROM_MISMATCH_ENVFROM,URIBL_BLOCKEDX-Spam-Score: 9.6Authentication-Results: mx1.bud-instal.pl; spf=fail (domain termika-serwis-faktury.com does not designate 193.42.108.55 as permitted sender) smtp.mailfrom=bounce-fk311@termika-serwis-faktury.com; dkim=fail (no valid DKIM signature found); dmarc=fail (p=none dis=none) header.from=termika-serwis-faktury.com─────────────────────────────────────────────────────Dzień dobry Pani Katarzyno,w związku ze zmianą banku obsługującego naszą spółkę uprzejmie informujemyo aktualizacji numeru rachunku do rozliczeń w ramach umowy TS/BI/2023/18.Prosimy o uregulowanie faktury korekty FK/2025/04/311 na nowy rachunek:PL 41 1140 2004 0000 3502 8317 4429Kwota do zapłaty: 28 430,00 PLNTermin płatności: 23.04.2025Dotychczasowy rachunek został już zamknięty, przelewy na niego będąodrzucane przez bank i zwracane po kilku dniach roboczych.Potwierdzenie przelewu prosimy odesłać w odpowiedzi na tę wiadomość.Z poważaniemMarta WieczorekSpecjalista ds. rozliczeńTermika Serwis Sp. z o.o.ul. Kolejowa 47, 41-200 SosnowiecNIP 6443512907tel. 32 296 84 12 wew. 3www.termika-serwis.pl
1. Podaj adres IP, z którego wiadomość została pierwotnie wysłana.
Poprawna odpowiedź:
Jak dojść do odpowiedzi
Łańcuch Received czytaj od dołu do góry, bo najstarszy wpis jest na samym dole. Pomiń wpis z localhost, bo to tylko wewnętrzny krok na maszynie nadawcy. Adres źródła jest w następnym wpisie nad nim, przy hoście unknown, w nawiasach kwadratowych. Tę samą wartość pokazuje nagłówek X-Originating-IP, ale opieraj się głównie na łańcuchu Received, bo to on jest twardym śladem.
Poprawna odpowiedź:45.135.232.19
2. Ile publicznych adresów IP występuje w nagłówkach Received? Pomiń adresy prywatne i pętlę zwrotną.
Poprawna odpowiedź:
Jak dojść do odpowiedzi
Przejrzyj nagłówki Received i policz adresy IP w nawiasach kwadratowych. Pomiń adresy z sieci prywatnej, czyli zaczynające się od 10., oraz pętlę zwrotną 127.0.0.1 (localhost).
Poprawna odpowiedź:3
3. Jaki wynik punktowy przypisał wiadomości filtr antyspamowy?
Poprawna odpowiedź:
Jak dojść do odpowiedzi
Wynik znajdziesz w nagłówku X-Spam-Score. Tę samą liczbę pokazuje też pole score w nagłówku X-Spam-Status. Im wyższa wartość, tym więcej reguł antyspamowych wzbudziła wiadomość. Próg required to granica, powyżej której mail uznawany jest za spam.
Poprawna odpowiedź:9.6
4. Nagłówek X-Priority ustawiono na wartość 1 (Highest). Po co atakujący tak robi?
A) Powoduje, że wiadomość omija filtry antyspamowe i trafia do skrzynki
B) Wymusza powiadomienie na telefonie odbiorcy zaraz po nadejściu wiadomości
C) Sprawia, że w programie pocztowym wiadomość jest oznaczona jako pilna
D) Przyspiesza dostarczenie wiadomości, skracając jej czas oczekiwania w kolejce
Nagłówek X-Priority pełni tylko jedną rolę, czyli wizualnie oznacza wiadomość jako pilną (np. wykrzyknik w programie pocztowym). Atakujący wykorzystuje to jako element presji, żeby ofiara zadziałała pochopnie.
5. Jeden z serwerów w nagłówku Received jest opisany jako unknown. Co to oznacza dla śledczego?
A) Nazwa serwera została zaszyfrowana i z tego powodu program pokazał ją jako unknown
B) Serwer nie ma rekordu PTR, co utrudnia identyfikację i bywa typowe dla phishingu
C) Serwer działa w sieci wewnętrznej i jego dane są celowo ukryte przed światem
D) Serwer należy do sieci Tor i z tego powodu jest w pełni anonimowy
Wpis „unknown" oznacza brak rekordu PTR (odwrotnego DNS) dla danego IP. Legalne serwery pocztowe mają PTR poprawnie ustawiony, więc jego brak jest charakterystyczny dla infrastruktury używanej do phishingu i spamu.