Данная программа представляет собой платный распаковщик архивов, которые находятся под паролем. Является приложением Windows (PE-EXE файл). Размер варьируется в зависимости от ПО, которое находится в архиве. Написана на Delphi.
Инсталляция
Данное приложение загружается пользователем с мошеннических вэб-ресурсов под видом инсталляционных файлов популярных бесплатных приложений, таких как "ICQ", "Skype", "QIP", "Adobe Flash Player", "Djvu Reader", "Lovi Vkontakte" и т.п. Все инсталляторы генерируются при помощи приложения "ZipMonster". Сайт разработчиков:
http://www.zip***nster.ru/
Деструктивная активность
После запуска пользователю предлагается выбрать язык:
Далее отображается диалог выбора пути установки:
Затем отображаются следующие окна:
После небольшой задержки пользователю предлагается оплатить процедуру распаковки архива с приложением, используя один из перечисленных способов перевода платежей:
WebMoney
Платный звонок
Кредитная карта
Рубли ВКонтакте
Терминалы
PayPal
либо отправить SMS-сообщение на один из премиум номеров:
текст и номер сообщения зависит от страны выбираемой страны. Также после выполнения клика пользователем по метке "Информация для пользователей" - в браузере пользователя открывается вэб-ресурс:
http://hel***mc.ru
На данном ресурсе указаны тарифы различных операторов для выбранного премиум-номера. Тарифы, которые указаны на этом ресурсе, могут отличаться от действительного тарифного плана оператора. При нажатии на кнопку "Перейти на страницу оплаты" осуществляется HTTP запрос:http://payment.zip***ster.ru/<выбранный_способ_оплаты>/?pay
=<ID_архива>
и открывается вэб-страница партнерского сайта, через который осуществляются запросы оплаты архивов:
Оплата осуществляется через системы "on-line” платежей "Liqpay", "Robokassa", "DaoPay", "WebMoney", "PayPal", "AlertPay".
Программа содержит в своем теле ZIP-архив, который защищен паролем. В данном архиве находится настоящий инсталляционный файл, предлагаемого пользователю, бесплатного ПО. В данном случае пользователю предлагается распаковать утилиту "Everest Ultimate Edition". Также содержит в своем теле библиотеку:
DelZip190.dll – имеет размер 122880 байт.
при помощи которой выполняется распаковка содержимого архива. В ответ сервер возвращает информацию о тарифах для премиум номера, полученную с ресурса:http://hel***mc.ru
