Как определить откуда пришло письмо, по служебным заголовкам?

Question

[Kostya00723]

Есть заголовки письма:

Delivered-To: admin@@external
Return-path: <>
Authentication-Results: emx.mail.ru; spf=none () smtp.mailfrom=[e-mail] smtp.helo=HJHZ013.steadyhost.ru
Received-SPF: none
Received: from [95.211.18.91] (port=42056 helo=HJHZ013.steadyhost.ru)
by mxpdd3.i.mail.ru with esmtp (envelope-from )
id 1axI8D-0002Kr-I4
for admin@; Mon, 02 May 2016 20:59:41 +0300
X-Mru-BL: 0:0
X-Mru-TLS: TLSv1.2:AES256-GCM-SHA384
X-Mru-BadRcptsCount: 0
X-Mru-PTR: HJHZ013.steadyhost.ru
X-Mru-NR: 1
X-Mru-OF: unknown (unknown)
X-Mru-RC: NL
Received: from [188.165.28.156] (helo=duma.gov.ru)
by HJHZ013.steadyhost.ru with ESMTP (envelope-from )
id 1axIC0-0007ri-ML
for admin@; Mon, 02 May 2016 18:03:36 +0000
Date: Mon, 02 May 2016 14:03:33 -0400
Message-ID: <[e-mail]>
From: [e-mail]
To: admin@
Subject: =?windows-1251?B?z/Dl5PPv8OXm5OXt6OUg5Ov/IFNreW5lcw==?=
Content-Type: text/plain; charset=windows-1251
X-DMARC-Policy: no
X-Mras: OK
X-Mru-Authenticated-Sender: [e-mail]
X-Spam: undefined

В каком именно месте написан истинный адрес отправки письма?
P.s рассылка выполнялась мошенниками

Answer 1

[CityCat4]

Ну, мне видится это так:
188.165.28.156 передав HELO duma.gov.ru отправляет письмо на hjhz013.steadyhost.ru
95.211.18.91 передав HELO steadyhost.ru отправляет письмо на mxpdd.i.mail.ru
То, что мошенниками - это понятно :)