WIDYA SCHOOL'S

A. File Info

Nama: Delp-Shortcut
Asal: Brazil (masih dugaan)
Ukuran File: 25.5 KB (26,112 bytes)
Packer: UPX
Pemrograman: Delphi
Icon: Menyerupai system file
Tipe: Worm

B. Tentang Malware
Bebeda dengan kerabat dekatnya yaitu VB-Shorcut yang juga mengeksploitasi shortcut, worm Delp-Shortcut dibuat menggunakan Delphi. Dengan menggunakan ekstensi *.sys, worm yang sebenarnya adalah file DLL32, mampu menyebar begitu cepat dengan bantuan shortcut yang diciptakannya. Agar bisa berjalan di memory, worm ini akan menempel pada file Run32dll.exe.

Kami menduga worm ini berasal dari Brazil, karena Delp-Shortcut mencoba mengakses sebuah alamat IP melalui port 1036, yang jika di trace berasal dari Brazil . Walau tidak tertutup kemungkinan IP tersebut hanyalah IP dari domain / hosting yang sengaja dibuat oleh virus maker-nya dan kebetulan berada di Brazil.


C. Companion/File yang dibuat

Delp-shortcut akan membuat 5 buah file shortcut dengan nama Documment and Settings.lnk, Program Files. lnk, RECYCLER.lnk, System Volume Information.lnk dan WINDOWS.lnk seperti yang terlihat pada gambar di atas. Shortcut yang diciptakan worm ini hanya menginfeksi Drive C, D, E, F, dan G.

Selain itu semua file shortcut yang dibuat akan mengarah kepada file mso.sys yang kemudian mengaktifkan Run32DLL.exe agar bisa berjalan di memory.


D. Hasil Infeksi
Beberapa kali kami mendapatkan Delp-Shortcut mencoba membuat hang explorer.exe setelah mengakses IP yang sudah di jelaskan di atas. Agar bisa berjalan saat startup, worm ini membuat Startup pada registry dan membuat companion dengan nama Microsoft Update.lnk di folder Startup.


Selain itu, companion dari malware ini juga terdapat pada folder :

• C:\Documents and Settings\-ede\Favorites\Microsoft update.lnk
• C:\Documents and Settings\All Users\Start Menu\Internet Explorer.lnk