Antaño, en este mundillo, se solía decir que "el mejor antivirus es uno mismo" y es que en cierta forma es verdad ya que la inteligencia de un buen antivirus depende de las firmas publicadas y no siempre tendremos las firmas a tiempo, incluso puedo asegurara que ni tan siquiera las grandes corporaciones las tienen en muchas ocasiones.

Sea como fuere creo necesario el antivirus, sobretodo en estaciones de trabajo de usuarios cuando hablamos de una empresa, siempre hay que partir del hecho que el usuario es bobo por naturaleza e ignora muchas cosas que nosotros no pasaríamos por alto.

F.W. no, señores, no mezclemos! está bien para protegernos de inundaciones por ejemplo o de ataques D.N.S. pero no mezclemos términos.

Y el sarcasmo de engel lex es totalmente acertado, pensar que Linux no necesita antivirus con tanto 0-day que vimos, sobretodo el año pasado, es caer en un gran error.

Como bien dice engel lex, la opción es revisar en la cabecera del mensaje, allí encontrarás el origen e incluso el relay si existe alguno en el camino, tanto interno como externo.
Luego eso de "extraer ips por otros medios y lugares, en ordenadores concreto" es una pregunta amplia que tirando del hilo de la analítica forense podría dar muchas respuesta dependiendo del medio, todo se reduce al nivel de tazas guardadas, a los eventos que se pueden recuperar .

Todo es un tema de diseño, evidentemente por más Shell que tengas si tiene fondo negro y letras verdes y la página vulnerable es un portal corporativo azul y blanco, siempre va a "cantar" y viceversa o mil casos peculiares distintos.
La cuestión es usar un poco el ingenio previamente subir una Shell, estudiar bien la hoja de estilos de la web y aplicar el mismo patrón de diseño, incluído logo corporativo y todo lo que esté al alcance, con el fin de pasar desapercibido en el caso de que un empleado la visualice por mera coincidencia