Showing posts with label Email Investigation. Show all posts

Friday, January 3, 2025

Email Header Analysis IP Tracker

Email Header Analysis Tool

Sample I

Email Header Analysis tool to trace the origin of an email and gain valuable insights into its journey. Simply paste the email header into the form below to uncover details like the sender’s IP address, mail servers, and email path. If you need help extracting the header,

Email Header Analysis by iptrackeronline

1.Open the email message

2. Click Show Original.

IP Lookup Email (SPF)

3. Copy and paste the header information into the Email Header Analysis Engine, and click Submit header for analysis.

Photo by :iptrackeronline

Geographical Info

Email Header Info

Photo by :iptrackeronline

Information Gathering

Photo by :iptrackeronline

Sample II

Email Header Analysis by Header Analyzed

Photo by :mxtoolbox.com

Relay Information

Photo by :mxtoolbox.com

Headers Found

Photo by :mxtoolbox.com

SPF and DKIM Information

Photo by :mxtoolbox.com

อ่านเพิ่มเติม: Email Forensics Tools

ทีมา : iptrackeronline

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

Friday, February 19, 2021

Digital Forensics:แนวทางการตรวจสอบ E-Mail Header

ข้อมูล Email Header ที่เป็นประโยชน์

From:เก็บชื่อบัญชี Email ของผู้ส่ง
To: เก็บชื่อบัญชี Email ของผู้รับ
Subject:- เก็บหัวเรื่องของ Email
Date: เก็บวันเวลาที่อีเมลถูกส่ง
Message-ID: เก็บค่า ID ของ email
Content: - เก็บค่ารูปแบบ email
X-Mailer: เก็บค่าของซอฟต์แวร์ที่ใช้ในการส่ง Email
Received: เก็บค่าการส่ง email ว่าถูกส่งผ่านที่ใดบ้าง
X-Originating-IP : IP address ของเครื่องที่ส่ง Email
Return-path: คือ บัญชีอีเมล์ต้นทาง (ผู้ส่ง)

ทั้งนี้จากรูปแบบการทำงานของ Email นั้นจะมีการบันทึกข้อมูลของช่องทางต่างๆ ที่ Email เดินทางมาถึงผู้รับ ตั้งแต่หมายเลขไอพีของผู้ส่งหรือหมายเลขไอพีของเครื่องเครื่องเซิร์ฟเวอร์ต้นทางที่ถูกใช้ส่งอีเมล ข้อมูลต่างๆเหล่านี้จะปรากฎอยู่ในส่วนที่เรียกว่า Email Header การใช้งานในกรณีปกติเมื่อผู้ใช้งานเปิดอ่านอีเมล จะไม่เห็นข้อมูลส่วนนี้แสดงออกมา แต่พนักงานสอบสวนเปิดดูข้อมูลใน Email Header ได้ สามารถตรวจสอบเส้นทางสื่อสารของ Email หรือรู้ Email ที่แท้จริงของผู้ส่งEmailได้

เครื่องมือที่ช่วยในการวิเคราะห์ Email Header

1. Google Admin Toolbox Message header

2. iptrackeronline

3. mxtoolbox

4. gaijin

แนวทางการตรวจสอบ E-Mail Header

Credit:ETDA Channel

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย รบกวนแจ้ง ADMIN เพื่อแก้ไขต่อไป

ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

Saturday, September 8, 2018

Digital Forensics: Email tracking for gmail

สอนทำ Email Tracking วิธีดูว่าอีเมลที่เราส่งออกไปถูกเปิดอ่านหรือยัง

มันคือAPP ที่คอย track ว่าอีเมลที่เราส่งไป นั้นถูกเปิดอ่านหรือเปล่า? หากคุณทำงานที่ต้องใช้อีเมลในการสื่อสารกับลูกค้าและทีมงานเป็นหลัก การได้รู้ว่าอีเมลถูกเปิดอ่านหรือไม่

1. เปิด Google Chrome Browser เพื่อติดตั้ง Extension ไปที่ Install Extension
Email Tracking for Gmail - Mailtrack

Email Tracking

2. กด Sign In with Google อนุญาตให้ Mailtrack เข้าถึงบัญชีของเรา

Check Mail track Enabled

3.เลือกว่าจะใช้งานแบบ เลือก Free

4. ทำการทดลองส่งเมล Test Track

5. ไปที่ จดหมายที่ส่งแล้ว (Sent Item)เราก็จะเห็นเครื่องหมายถูกสองอัน ถ้าขึ้นเขียวสองอันแปลว่าคนที่เราส่งไปเปิดเมลแล้ว

Email Tracking Software (Browser Extension)

How to Track Sent Emails on Gmail Using Chrome

ที่มา:

mailtrack

mailmaster

sysadmin.psu.ac.th

bowkraivanich

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Monday, April 23, 2018

Digital Forensics: Email Investigation Part II.

การสืบค้นข้อมูลทางอินเทอร์เน็ต

การสืบค้นข้อมูลจาก (Email )จดหมายอิเล็กทรอนิกส์

การรวบรวมพยานหลักฐาน

ที่มา:
ขอขอบคุณท่าน พันตำรวจเอก สันติพัฒน์ พรหมะจุล ตำรวจภูธรภาค ๑ ขออนุญาตแชร์เป็นวิทยาทาน

อ่านเพิ่มเติม: DIGITAL FORENSICS: EMAIL INVESTIGATION PART I.

#การสืบค้นข้อมูลทางอินเทอร์เน็ต

#การสืบค้นข้อมูลจากอีเมล

#การรวบรวมพยานหลักฐาน

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Saturday, February 17, 2018

Digital Forensics:DKIM

DKIM (DomainKeys Identified Mail) เป็นระบบที่ช่วยป้องกันการดักจับ Spam Mail วิธีหนึ่ง ซึ่งเป็นที่นิยมใช้กันมากขึ้นเรื่อย ๆ โดยเฉพาะผู้ให้บริการฟรีอีเมล์ทั้งหลาย เช่น Gmail, Hotmail (Outlook), Yahoo เป็นต้น

DKIM คืออะไร?

Domain Keys Identified Mail (DKIM) คือ การเพิ่มลายเซ็นดิจิทัลที่ส่วนหัวของอีเมล (Email Header) ที่คุณส่งออกไป ช่วยให้เซิร์ฟเวอร์เมลปลายทางของผู้ติดต่อสามารถตรวจสอบได้ว่าคุณใช้เซิร์ฟเวอร์เมลของคุณในการส่งหรือไม่ โปรโตคอลนี้มีประสิทธิภาพโดยเฉพาะอย่างยิ่งกับการโจมตีแบบแทรกกลางการสื่อสาร (Man-in-the-Middle)

http://rejoiner.com/resources/what-is-a-dkim-record/

SPF คืออะไร?

Sender Policy Framework (SPF) เป็นวิธีการหนึ่งที่จะช่วยตรวจสอบว่าแคมเปญอีเมลที่ผู้ติดต่อได้รับนั้นเป็นแคมเปญที่มาจากโดเมนของคุณจริงหรือไม่ โดยผู้ที่เป็นเจ้าของโดเมนจะต้องทำการระบุว่าอีเมลที่ส่งจากโดเมนนั้น ๆ จะถูกส่งออกด้วยเซิร์ฟเวอร์เครื่องใด หรือหมายเลข IP Address อะไรบ้าง โปรโตคอลนี้มีประสิทธิภาพโดยเฉพาะอย่างยิ่งกับการโจมตีแบบฟิชชิ่ง

DKIM และ SPF ถูกออกแบบมาเพื่อตรวจจับการปลอมแปลงทางอีเมล ป้องกันไม่ให้ผู้ให้บริการอีเมล (Email Service Provider: ESP) ปลอมแปลงที่อยู่ในการส่ง ซึ่งเป็นเทคนิคที่มักใช้ในการหลอกลวงทางอีเมลและฟิชชิ่ง

https://www.cyberpunk.rs/spf-email-validation-protocol

SPF Record หรือ Sender Policy Framework คือ ค่าที่ระบุ Server email ที่ได้รับอนุญาติให้ส่ง email ในนาม Domain ผู้ส่งซึ่งจะระบุเป็น IP Address ของ mail server

Credit:

http://rejoiner.com/resources/what-is-a-dkim-record

https://postmarkapp.com/guides/dkim

/set-up-custom-domain-authentication-with-dkim-and-spf

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

Saturday, May 20, 2017

Digital Forensics:Mail Transfer Agent

การส่งอีเมล: เมื่อผู้ใช้เขียนอีเมลโดยใช้โปรแกรมรับส่งอีเมล เช่น Microsoft Outlook, Eudora หรือผ่านเว็บเมล เมื่อกดส่งอีเมล ไคลเอนท์จะติดต่อกับเครื่องเซิร์ฟเวอร์ โดยใช้โพรโทคอล SMTP (Simple Mail Transport Protocol) อีเมลจะถูกส่งมาเก็บยังเครื่องเมลเซิร์ฟเวอร์ จัดเก็บลงในคิว เพื่อรอการจัดส่งต่อไป การทำงานนี้อาจจะเรียกอีกอย่างว่า การส่งเมล

การแลกเปลี่ยนอีเมลระหว่างเอ็มทีเอ: อีเมลที่ผู้ใช้ส่งมายังเซิร์ฟเวอร์ จะถูกจัดการโดยโปรแกรมแลกเปลี่ยนอีเมล (MTA: Mail Transport Agent) โดยอ่านที่อยู่อีเมลปลายทาง และนำโดเมนปลายทางไปตรวจสอบกับเนมเซิร์ฟเวอร์ (Name Server) เพื่อหาว่าเมลเซิร์ฟเวอร์ใดเป็นเมลเซิร์ฟเวอร์ที่ให้บริการโดเมนปลายทาง จากนั้นจะติดต่อไปยังเครื่องเมลเซิร์ฟเวอร์นั้น และส่งเมลไปยังเมลเซิร์ฟเวอร์ปลายทางโดยใช้โพรโทคอล SMTP เพื่อรอให้ผู้ใช้ปลายทางมารับเอาอีเมลฉบับนี้ไป

การรับอีเมล: ผู้ใช้ปลายทางสามารถรับอีเมลได้โดยผ่านโปรแกรมรับส่งอีเมล หรือเว็บเมล โดยโปรแกรมจะติดต่อมายังเครื่องเมลเซิร์ฟเวอร์ แล้วส่งชื่อผู้ใช้และรหัสผ่าน เมื่อเมลเซิร์ฟเวอร์ตรวจสอบว่า ชื่อผู้ใช้และรหัสผ่านถูกต้อง ก็จะอนุญาตให้ผู้ใช้คนนั้นรับอีเมลได้ โพรโทคอลที่ใช้ในการรับอีเมลนี้ เช่น POP3 หรือ IMAP4

ส่วนประกอบการทํางานของการรับส่งข้อความ (Messaging) มีส่วนประกอบสําคัญดังต่อไปนี
• MTA (Mail Transfer Agent) เปรียบได้กับที ทําการไปรษณีย์ (Post Office) โดย ทําหน้าที ในการส่งอีเมลไปยังปลายทาง (Destination) ตามที อยู่ของผู้รับที ปรากฏบนอีเมล ซึง ปลายทางนั้นๆ คือ MTA อื นๆ โดยจะใช้ SMTP เป็นโปรโตคอลในการสือสารระหว่าง MTA ด้วยกัน โปรแกรมที่ทําหน้าที่เป็น MTA ได้แก่โปรแกรม Postfix, Qmail, Sendmail

MUA (Mail User Agent) หมายถึงโปรแกรมทีทําหน้าทีเป็นตัวกลางระหว่าง ผู้ใช้งานอีเมลกับระบบสือสารด้วยอีเมล ซึงก็คือโปรแกรมประเภทเมลไคลแอนต์ทีเรารู้จัก โดยทัวไป เช่น Outlook Express เป็นต้น โดยโปรแกรมเหล่านีจะทําหน้าทีติดต่อระหว่าง ผู้ใช้งานกับเมลบ็อกซ์ทีเครืองเซิร์ฟเวอร์ โดยผ่านโปรโตคอลทีมีชือเรียกว่า IMAP หรือ POP และทําหน้าทีส่งอีเมลโดยติดต่อกับเมล์เซิร์ฟเวอร์ผ่านโปรโตคอล SMTP

MDA (Mail Delivery Agent) เป็นโปรแกรมทีทําหน้าทีจัดส่งอีเมลไปสู่ส่วนต่างๆ ใน ระบบ หรือควบคุมทิศทางการไหลเวียนของอีเมล์ในระบบ นอกจากนันหาก MDA นีทํางานอยู่ ภายในเมลเซิร์ฟเวอร์ทีเป็นเมลเซิร์ฟเวอร์ในเครือข่ายท้องถิน (Local MTA) โปรแกรม MDA นี จะทําหน้าทีเขียนอีเมลลงสู่เมลบ็อกซ์ของแต่ละยูสเซอร์ หลังจากที MTA ได้รับอีเมลเข้ามา โดย จะมาจากเครือข่ายเดียวกันหรือเครือข่ายอืน นอกจากนี MDA ยังมีความสามารถในส่วนของ การกรองอีเมลได้อีกด้วย โปรแกรมทีทําหน้าทีเป็น MDA ได้แก่ Procmail, Maildrop Postfix จะ มีโมดูลทีทําหน้าทีในการเขียนอีเมลลงเมลบ็อกซ์ในตัวเอง โดยทีไม่จําเป็นต้องใช้ MDA ตัวอืน แต่ในกรณีทีต้องการความสามารถพิเศษมากขึน เช่น การกรองหรือคัดแยกอีเมล์จําเป็นต้อง จัดการให้ MDA ทําหน้าทีร่วมด้วย

https://pdfs.semanticscholar.org/8625/a3b17d199e5cabbb796bad0df56a7979c77c.pdf

Cradit:
TECHNIQUES AND TOOLS FOR FORENSIC INVESTIGATION OF E-MAIL
Email-forensics-investigation-techniques
mail-transfer-agent/
http://www.nextproject.net/contents/?00037

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Wednesday, April 12, 2017

Digital Forensics: เทคนิคค้นหา email ใน Internet

Digital Forensics:เทคนิคหา email ใน Internet

บ่อยครั้งที่หลายคนเจอ Phishing mail แล้วก็มีคำถามว่า รู้อีเมลเราได้อย่างไร จริงๆ แล้วมีหลายเทคนิค ที่สามารถรู้ email address ได้ เช่น
1. ค้นหาใน Google ,
2. การส่งเมล CC เมลเป็นจำนวนมาก
3. ติิดตั้ง application ที่ไม่น่าเชื่อถือ บนเครื่องคอมพิวเตอร์หรือบนโทรศัพท์
4. ติดมัลแวร์
5. อื่นๆ

Phishing คือคำที่ใช้เรียกเทคนิคการหลอกลวงโดยใช้อีเมลหรือหน้าเว็บไซต์ปลอมเพื่อให้ได้มาซึ่งข้อมูล เช่น ชื่อผู้ใช้ รหัสผ่าน หรือข้อมูลส่วนบุคคลอื่น ๆ เพื่อนำข้อมูลที่ได้ไปใช้ในการเข้าถึงระบบโดยไม่ได้รับอนุญาต หรือสร้างความเสียหายในด้านอื่น ๆ เช่น ด้านการเงิน เป็นต้น ในบทความนี้จะเน้นในเรื่องของ Phishing ที่มีจุดมุ่งหมายเพื่อหลอกลวงทางการเงิน เนื่องจากจะทำให้ผู้อ่านมองเห็นผลกระทบได้ง่าย

ตัวอย่างของอีเมลและหน้าเว็บไซต์หลอกลวง มีอยู่มากมายเต็มไปหมดในโลกอินเทอร์เน็ต เช่นรูปด้านล่าง เป็นรูปของสถาบันทางการเงินแห่งหนึ่ง หากสังเกตดีๆ จะเห็นว่า URL ที่แสดงขึ้นมา ไม่ใช่ URL ที่ถูกต้องของสถาบันการเงินนั้น

ที่มา https://www.thaicert.or.th/papers/general/2012/pa2012ge007.html

วันนี้เลยนำเครื่องมือ The harvester วัตถุประสงค์ของโปรแกรมนี้คือการรวบรวมอีเมลโดเมนย่อยโฮสต์ จากแหล่งสาธารณะต่างๆเช่น เครื่องมือค้นหาต่างๆ
เครื่องมือนี้มีจุดประสงค์เพื่อช่วยการทดสอบ ระบบเพื่อทำความเข้าใจกับ footprint on the Internet. นอกจากนี้ยังมีประโยชน์สำหรับผู้ที่ต้องการทราบว่าผู้โจมตีสามารถเห็นอะไรเกี่ยวกับองค์กรของตน

สิ่งที่ต้องเตรียม

1. Kali linux
2. theharvester
3. Domain name

Examples:

theharvester -d microsoft.com -l 500 -b google -h myresults.html

theharvester -d microsoft.com -b pgp

theharvester -d microsoft.com -l 200 -b all

theharvester -d microsoft -l 200 -b linkedin

theharvester -d apple.com -b googleCSE -l 500 -s 300

นอกจาก Google แล้วยังสามารถ ใช้ Engine อื่น เช่น linkedin, bing, yahoo ,twitter

เมื่อเรารู้ข้อมูลแล้วควรหลีกเลี่ยงและหาทางป้องกันไม่ให้กรอกข้อมูลสำคัญไป ในอีเมลที่ไม่น่าเชื่อถือ หรือใช้ช่องทางอื่นตรวจสอบว่า ใช้แหล่งต้นทางที่ส่งมาจริงหรือไม่

ข้อแนะนำต่อไปนี้ สามารถลดโอกาสไม่ให้ผู้อ่านถูกหลอกลวงได้

ไม่เปิดลิงก์ที่แนบมาในอีเมล เนื่องจากมีโอกาสสูงที่จะถูกหลอกลวง เพราะบางครั้งลิงก์ที่มองเห็นในอีเมลว่าเป็นเว็บไซต์ของธนาคาร แต่เมื่อคลิกไปแล้วอาจจะไปที่เว็บไซต์ปลอมที่เตรียมไว้ก็เป็นได้ เนื่องจากในการสร้างลิงก์นั้นสามารถกำหนดให้แสดงข้อความหรือรูปภาพได้ตามต้องการ ดังนั้นบางเว็บไซต์ปลอมจึงทำ URL ให้สังเกตความแตกต่างจาก URL จริงได้ยาก
พึงระวังอีเมลที่ขอให้กรอกข้อมูลส่วนบุคคล โดยเฉพาะหากเป็นอีเมลที่มาจากสถาบันการเงิน ทั้งนี้ธนาคารหลายแห่งได้แจ้งอย่างชัดเจนว่า ธนาคารไม่มีนโยบายในการขอให้ลูกค้าเปิดเผยเลขประจำตัว หรือข้อมูลที่มีความสำคัญอื่น ๆ ผ่านทางอีเมลโดยเด็ดขาด
ไม่เปิดลิงก์ที่แนบมาในอีเมล เนื่องจากในปัจจุบัน ผู้โจมตีมีเทคนิคมากมายในการปลอมชื่อผู้ส่งให้เหมือนมาจากองค์กรนั้นจริง ๆ หากต้องการเข้าใช้งานเว็บไซต์นั้น ขอให้พิมพ์ URL ด้วยตัวเอง
สังเกตให้แน่ใจว่าเว็บไซต์ที่ใช้งานเป็น HTTPS ก่อนให้ข้อมูลส่วนบุคคลที่สำคัญ เช่น เลขบัตรเครดิต หรืออื่น ๆ
ลบอีเมลน่าสงสัยออกไป เพื่อไม่ให้พลั้งเผลอกดเปิดครั้งถัดไป
ติดตั้งโปรแกรม Anti-Virus, Anti-Spam และ Firewall เนื่องจากผลพลอยได้อย่างหนึ่งของการติดตั้ง Firewall คือสามารถทำการยับยั้งไม่ให้โทรจันแอบส่งข้อมูลออกไปจากระบบได้ นอกจากนี้ ผู้ใช้ควรหมั่นศึกษาและอัพเดทโปรแกรมดังกล่าวให้เป็นรุ่นปัจจุบันเสมอ