Delp-Shortcut rupanya teror worm yang mengeksploitasi shortcut belum berakhir meskipun tahun 2010 telah dilewati. Kami mendapat banyaknya laporan dari user mengenai adanya file shorcut yang tidak bisa di hapus dan ada file mencurigakan dengan nama mso.sys.
A. File Info
Nama: Delp-Shortcut
Asal: Brazil (masih dugaan)
Ukuran File: 25.5 KB (26,112 bytes)
Packer: UPX
Pemrograman: Delphi
Icon: Menyerupai system file
Tipe: Worm
B. Tentang Malware
Bebeda dengan kerabat dekatnya yaitu VB-Shorcut yang juga mengeksploitasi shortcut, worm Delp-Shortcut dibuat menggunakan Delphi. Dengan menggunakan ekstensi *.sys, worm yang sebenarnya adalah file DLL32, mampu menyebar begitu cepat dengan bantuan shortcut yang diciptakannya. Agar bisa berjalan di memory, worm ini akan menempel pada file Run32dll.exe.
Kami menduga worm ini berasal dari Brazil, karena Delp-Shortcut mencoba mengakses sebuah alamat IP melalui port 1036, yang jika di trace berasal dari Brazil . Walau tidak tertutup kemungkinan IP tersebut hanyalah IP dari domain / hosting yang sengaja dibuat oleh virus maker-nya dan kebetulan berada di Brazil.
C. Companion/File yang dibuat
Delp-shortcut akan membuat 5 buah file shortcut dengan nama Documment and Settings.lnk, Program Files. lnk, RECYCLER.lnk, System Volume Information.lnk dan WINDOWS.lnk seperti yang terlihat pada gambar di atas. Shortcut yang diciptakan worm ini hanya menginfeksi Drive C, D, E, F, dan G.
Selain itu semua file shortcut yang dibuat akan mengarah kepada file mso.sys yang kemudian mengaktifkan Run32DLL.exe agar bisa berjalan di memory.
D. Hasil Infeksi
Beberapa kali kami mendapatkan Delp-Shortcut mencoba membuat hang explorer.exe setelah mengakses IP yang sudah di jelaskan di atas. Agar bisa berjalan saat startup, worm ini membuat Startup pada registry dan membuat companion dengan nama Microsoft Update.lnk di folder Startup.
Selain itu, companion dari malware ini juga terdapat pada folder :
• C:\Documents and Settings\-ede\Favorites\Microsoft update.lnk
• C:\Documents and Settings\All Users\Start Menu\Internet Explorer.lnk