最近同仁常收到病毒郵件,看此封郵件來源竟然是公司發出abc.com.tw,但ip不是公司的,查whois ip是hinet 的,為什麼是由公司mail server 寄出??
1.公司內部有人中毒了嗎?不太可能,因為ip非公司的
2.從218.172.220.138登入公司的web mail嗎? 那不就有帳號被破解了,不然怎麼有辦法寄出信,雖然寄件者都不一樣那應該都是造假的,不過都是同一個同仁收到的

到底要怎麼查??mail server 到底有沒有被入侵?
mail server:Exchange 2003 ,有開Outlook Web Access
卡巴針測到此病毒:Email-Worm.Win32.NetSky.c,而附件party.zip/ party.rtf.com

Microsoft Mail Internet Headers Version 2.0
Received: from abc.com.tw ([218.172.220.138]) by abc.com.tw with Microsoft SMTPSVC(6.0.3790.4675);
Fri, 15 Jul 2011 09:13:47 +0800
From: taiho.tang@msa.hinet.net
To: jack@abc.com.tw
Subject: its me
Date: Fri, 15 Jul 2011 09:20:32 +0800
MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary=\"----=_NextPart_000_0009_000072D5.0000475E\"
X-Priority: 3
X-MSMail-Priority: Normal
Return-Path: taiho.tang@msa.hinet.net
Message-ID: <MS-SERVERLQ8aZRhQdO00000320@abc.com.tw>
X-OriginalArrivalTime: 15 Jul 2011 01:13:47.0590 (UTC) FILETIME=[72CE9E60:01CC428C]

------=_NextPart_000_0009_000072D5.0000475E
Content-Type: text/plain;
charset=\"Windows-1252\"
Content-Transfer-Encoding: 7bit

------=_NextPart_000_0009_000072D5.0000475E
Content-Type: application/x-zip-compressed;
name=\"party.zip\"
Content-Transfer-Encoding: base64
Content-Disposition: attachment;
filename=\"party.zip\"

------=_NextPart_000_0009_000072D5.0000475E--