![电子邮件自动发送到中国地址——诈骗/垃圾邮件/病毒?](https://linux22.com/image/1590505/%E7%94%B5%E5%AD%90%E9%82%AE%E4%BB%B6%E8%87%AA%E5%8A%A8%E5%8F%91%E9%80%81%E5%88%B0%E4%B8%AD%E5%9B%BD%E5%9C%B0%E5%9D%80%E2%80%94%E2%80%94%E8%AF%88%E9%AA%97%2F%E5%9E%83%E5%9C%BE%E9%82%AE%E4%BB%B6%2F%E7%97%85%E6%AF%92%EF%BC%9F.png)
我的 IT 同事注意到我们工作网络中的一位(非 IT)用户的邮箱中出现了一些奇怪的事情。
在用户的已发送文件夹中,我们发现一堆电子邮件全是中文字符,并且它们被发送到中文电子邮件地址。她没有发送这些邮件,一分钟内发送了 30-40-50 封电子邮件。其中一些电子邮件没有送达,但很多都送达了。
我们已经更改了她的密码,但这种情况仍然发生。我们有 ESET Endpoint Security,并且确实对计算机进行了检查,但没有发现任何东西。
只有一个用户,但看起来她的计算机上的某个程序会定期(不是定期,而是每周一次、两次或每两周一次)同时发送 30-50 封电子邮件。
收件人的电子邮件地址大多是随机字符串,提供商为126.com、yahoo.cn 等。
是否有人知道这可能是什么,或者对下一步该尝试什么或如何调查此事有任何建议?
编辑(在 davidgo 回复之后):感谢您的回复,这听起来不太好。
主要是因为我们几周前才给她买了一台新电脑,她说“这种情况已经持续了一段时间,我每天都在删除这些文件”。她的电子邮件账户也与智能手机同步,所以我们怀疑这可能是她在手机上做的某件事。
我们将几个电子邮件主题放入谷歌翻译中,它们看起来确实像是带有广告的普通垃圾邮件。
更大的问题是,机器和电子邮件帐户在这里扮演着更重要的角色......与“官方团体”的关键通信都是通过它进行的,因此隔离机器是99.99%不可能的,更不用说更改电子邮件地址或任何类似的事情了——除非我能提供确凿的证据证明发生了违规和/或数据盗窃。
在我首次发帖 2 个月后 - 在更改了一些密码等之后 - 这类电子邮件的数量有所减少,但问题似乎仍然存在,至少对于 2 个用户来说是这样(之前是 5 个)。
Spamrl 说:
发送 IP(xxxxxx)被列为字典攻击的来源。
这意味着我们发现来自您 IP 的不存在邮箱的流量与合法投递量相比大幅增加。这是自动发生的,并非由垃圾邮件报告导致。
我截取了 EAC 中显示内容的屏幕截图。这是针对 1 位用户的,底部 7 封电子邮件在一分钟内“发送”,顶部 2 封在几个小时后发送。(主题中的“Olvasatlan”在我的母语中只是“未读”的意思。)
我也不确定我的域名是字典攻击的来源是什么意思。收件人字段中的地址确实看起来像不存在的邮箱,就像 spamrl 消息所暗示的那样,但我不知道接下来该如何进行调查。
还值得注意的是,有时其中一些在主题中显示“已读”。
任何帮助、提示和建议都将不胜感激。
答案1
您所描述的情况似乎具有受感染计算机的特征,该计算机是垃圾邮件僵尸网络的一部分 - 尽管 ESET 并未发现它。
从你所说的情况来看,目标群体是中国人。你也许可以通过翻译一些电子邮件来支持这一理论。
没有简单的方法可以解决这个问题(除了可能擦除她的系统并重新安装它)。您可能想尝试暂时禁用 ESET 并使用其他 AV 扫描仪。此外,您应该尝试 Malwarebytes,因为根据我的经验,它可以找到“严格意义上来说不是病毒”的病毒,这些病毒在所有意图和目的上都是恶意软件,而其他软件则无法找到。为此,请查找她严格意义上不需要的已安装软件 - 比如游戏、工具栏等。
不幸的是,其他任何事情都会变得非常困难。您可以尝试隔离系统,使其不用于任何重要的事情,转储所有往返于它的流量,然后挑选所有往返于它的流量,看看您是否能找到命令服务器。这可能不值得付出努力。