[Greyman]

Все зависит от того, наскольно умно он написан. В простейшем случае можно найти поиском по формату электронного адреса или имени домена. Если используется подстановка, то сложнее. Некоторые используют еще и шифрование, тогда можно попробоват декомпиляцией, но в большинстве случаев и это не помогает, тогда отсается отладка... Ну а так можно просто декодировать перехватываемые отправляемые им пакеты (соответственно дял этого его надо запустить, например в тестовой ОС, либо в виртуальной машине)...