SpamTool.Win32.Delf.h

Jest to program wysy艂aj膮cy spam pod adresy e-mail znalezione w zainfekowanym komputerze. Ma posta膰 pliku PE EXE o rozmiarze 82 432 bajt贸w (kompresja UPX, rozmiar po rozpakowaniu - 232 448 bajt贸w) i powsta艂 przy u偶yciu 艣rodowiska programistycznego Delphi.

Instalacja

Szkodnik dociera do potencjalnej ofiary pod postaci膮 zainfekowanej wiadomo艣ci e-mail. Oto przyk艂ad takiej wiadomo艣ci:

Charakterystyka zainfekowanych wiadomo艣ci e-mail

  • Nazwa nadawcy:
    CNN Newsletter
    
  • Temat:
    TERROR HITS LONDON
    
  • Nazwa za艂膮cznika:
    LondonTerrorMovie.zip
    

Za艂膮czone archiwum zawiera plik:

London Terror Moovie.avi (wiele spacji) Checked By Norton Antivirus.exe

Po uruchomieniu program kopiuje si臋 do foldera g艂贸wnego systemu Windows z jedn膮 z poni偶szych nazw:

%Windows%ctflog.exe 
%Windows%explore.exe 
%Windows%inetinfomon.exe 
%Windows%MPM.exe 
%Windows%service.exe 
%Windows%winlogon.exe

W celu utrudnienia wykrycia swojego pliku szkodnik nadaje mu nast臋puj膮ce atrybuty: ukryty, systemowy, tylko do odczytu.

SpamTool.Win32.Delf.h tworzy w艂asny klucz rejestru, co zapewnia mu uruchamianie wraz z ka偶dym startem systemu Windows:

[HKCUSoftwareMicrosoftWindowsCurrentVersionRun] "(nazwa pliku bez rozszerzenia) manager" = "%Windows%(nazwa pliku)"

Funkcje szkodnika

Program mo偶e zosta膰 wykorzystany do wysy艂ania spamu pod adresy e-mail znalezione w zainfekowanym komputerze, a tak偶e pod adresy skonstruowane z nast臋puj膮cych sk艂adnik贸w:

  • Nazwa:
    about 
    abrupt 
    acetic 
    actinolite 
    Alana 
    Alexandria 
    Alvarado 
    anarch 
    apocryphal 
    blacksmith 
    blown 
    bolometer 
    Caldwell 
    Carlos 
    Carson 
    codfish 
    crystallite 
    Cummings 
    Curtis 
    dairymen 
    David 
    deducible 
    Dee 
    detour 
    diffusible 
    diurnal 
    Edward 
    Ellis 
    Fernandez 
    french 
    frostbite 
    Hillary 
    Hudson 
    hydrochemistry 
    Ivan 
    Jimenez 
    Kenneth 
    loretta 
    Luisa 
    mail-hub 
    mail-relay 
    Malinda 
    Mark 
    Martinez 
    Mccoy 
    Mckinney 
    mentor 
    Oliver 
    reactionary 
    relay 
    relay1 
    relay2 
    Ronald 
    Scott 
    Sharp 
    slovakia 
    Thomas 
    Torres 
    Victor 
    Wagner 
    Walton 
    Williams 
    wooden 
    zeus
    
  • Domena:
    @aol.com 
    @hotmail.com 
    @msn.com 
    @yahoo.com
    

    Dodatkowo program mo偶e pobiera膰 z Internetu inne szkodliwe programy i uruchamia膰 je w zainfekowanym systemie. Spam-SPM (McAfee),   Trojan.MailSpam (Doctor Web),   Troj/Spexta-A (Sophos),   TROJ_DONBOMB.A (Trend Micro),   TR/Londrop (H+BEDV),   Trojan.DonBomb.A (SOFTWIN),   Trj/Bobin.A (Panda),   Win32/SpamTool.Delf.H (Eset)