Trojan.Win32.Revop.a

Trojan.Win32.Revop.a («Лаборатория Касперского») также известен как: AdClicker-O (McAfee), BackDoor.Generic.665 (Doctor Web), Troj/Winpup-C (Sophos), Win32/HLLW.Jitux (RAV), TROJ_REVOP.A (Trend Micro), PMS/Winpup.3 (H+BEDV), Win32:Trojano-025 (ALWIL), Revop.A (Grisoft), Trojan.Winpup.C (SOFTWIN), Spyware/AdClicker (Panda), Win32/Revop.A (Eset)

Программа является приложением Windows (PE EXE-файл), имеет размер около 65 КБ.

Данный троянец мог быть загружен и запущен на компьютере с помощью другого трояна.

Revop.a будет выполнять заложенные в него действия только в том случае, если в системе будет найден файл msinet.ocx. В противном случае троянец выдаст следующую ошибку:

Если файл msinet.ocx присутствует на зараженном компьютере, то троянец совершает следующие действия.

При запуске троянец создает свою копию с произвольным именем в системном каталоге Windows:

  
  %System%\<произвольное имя>.exe

Затем регистрирует этот файл в ключе автозапуска системного реестра:

  
  [HKLM\Software\Microsoft\Windows\
  CurrentVersion\Run]
   "mremotes"="%System%\
  <произвольное имя>.exe"

Затем троянец создает файл с именем pup.exe в корневом каталоге Windows:

%Windir%\pup.exe

Также троян создает следующую запись в реестре:

  
  [HKLM\Software\Microsoft\Windows\
  CurrentVersion\Explorer\pup]

Время от времени троян выдает рекламные сообщения в окне Internet Explorer.