病毒綜述
病毒名稱： backdoor.win32.blackhole.2005.f
中文名稱： 黑洞
病毒類型： 後門類
檔案 MD5： F7D03831A80BF0AB75A550EE960D04DD
公開範圍： 完全公開
危害等級： 中等
檔案長度： 206,340 位元組
感染系統： Win98以上系統
開發工具： Borland Delphi 6.0 - 7.0
加殼類型: UPX 0.89.6 - 1.02 / 1.05 - 1.24 (Delphi) stub ->Markus& Laszlo
命名對照： 驅逐艦[Trojan.PWS.Kpo]
Ewido[Backdoor.Win32.BlackHole.2005.a]
病毒描述
該病毒運行後，衍生病毒檔案到系統目錄下，添加註冊表自動運行項以隨機引導病毒體。該病毒具有切斷網路功能，感染用戶可能被完全控制，進行上傳、下載等操作。病毒會監測用戶鍵盤輸入，而後輸出到%system32%\keylog.txt傳送出去。
行為分析：
1、衍生下列副本與檔案
%system32%\ KeySpy.dll
%system32%\Keylog.txt
%WinDir%\2005.exe
%WinDir%\2005.cfg
2、新建註冊表鍵值：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\Black Hole2005 Professional\ImagePath
鍵值: 類型: REG_EXPAND_SZ 長度: 20 (0x14) 位元組
C:\WINDOWS\2005.exe.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\BlackHole2005
Professional\Description鍵值: 字元串: "Black Hole2005 Professional Version Service"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Black Hole2005 Professional\DisplayName鍵值: 字元串: "Black Hole2005 Professional Version"
3、連線下列伺服器地址：
7762753yeah.net(202.108.36.145)
adclient.163.com(202.108.15.128)
images.163.com(202.108.36.145)
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木馬防線可徹底清除此病毒(推薦)
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
2005.exe
(2) 刪除病毒釋放檔案
%system32%\ KeySpy.dll
%system32%\Keylog.txt
%WinDir%\2005.exe
%WinDir%\2005.cfg
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Black Hole2005 Professional\ImagePath
鍵值: 類型: REG_EXPAND_SZ 長度: 20 (0x14) 位元組
C:\WINDOWS\2005.exe.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\BlackHole2005Professional\Description鍵值: 字元串: "Black Hole2005 Professional Version Service"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Black Hole2005 Professional\DisplayName鍵值: 字元串: "Black Hole2005 Professional Version"
