一、事件分析：

　　近日，数据安全实验室监测到恶意网站16a.us危害用户。如果存在ANI漏洞的机器访问过该网站，那么该机器所在局域网内的其他机器访问大多数网站时，页面显示都会异常，并会下载木马程序Trojan-Downloader.JS.Agent.gd。当查看HTML源码，用户会发现在所有网页内会被嵌入“http://16a.us/2.js”字符串。该网站利用ANI漏洞使存在漏洞的用户下载病毒文件。 它传播的病毒还会进ARP欺骗，使用户下载其他木马程序，进而盗取用户敏感信息，同时造成局域网内经常掉线，网络极不稳定。
　　病毒地址：http://16a.us/ok/mytest2.jpg和http://16a.us/oK/svchost.exe。

二、16a.us病毒分析如下：

1、病毒描述：
　　　 病毒文件包括svchost.exe和mytest2.jpg。mytest2.jpg为ANI溢出文件，它利用ANI漏洞，使存在该漏洞的机器下载并运
　 行svchost.exe。运行svchost.exe后，会下载大量病毒，进行ARP欺骗、盗取用户个人信息、网络游戏帐号和密码、连接远程
　 机器接受控制等。并且病毒更新非常频繁，会更改下载病毒文件的路径(现在替换路径ok为sign)。但域名还是16a.us。
2、病毒标签：
　　 　病毒名称：virus.win32.autorun.am　//svchost.exe文件
　　 　//病毒名称：exploit.win32.IMG-ANI.gen mytest2.jpg文件
　　 　病毒别名：16a.us
　　 　病毒类型：病毒
　　 　危害级别：5
　　 　感染平台：Windows 平台
　　 　病毒大小：19,506 (字节)
    　　 　SHA1：a5af7d96c47127b44fb976319ce389deec0b8334
　　 　加壳类型：upx
　　 　开发工具：Delphi
3、病毒分析：
　　 　(1) 运行文件后
　　　　　 新建 %ProgramFiles%\Internet Explorer\romdrivers.bak　　19,506 bytes
　　　　　 新建 %ProgramFiles%\Internet Explorer\romdrivers.dll　　13,874 bytes
　　　　　 新建 %ProgramFiles%\Internet Explorer\romdrivers.bkk　　13,874 bytes
　　　　　 romdrivers.dll插入进程explore.exe进行自我保护，监控系统，进行ARP欺骗。
　　 　(2) 删除文件 %system32%\drivers\etc\hosts解除对恶意网站的屏蔽，然后每16分钟左右查询是否已经存在将要下载的
　　　　　 病毒文件，如果存在就运行病毒，如果没有就从16a.us上下载回来。
　　 　(3) 下载到目录 %Temp%如下13个文件
　　　　　 csrss.exe　45,963 bytes　　
　　　　　 svchost32.exe　46,073 bytes
　　　　　 smss.exe　45,512 bytes
　　　　　 services.exe　44,889 bytes
　　　　　 svchost.exe　44,152 bytes
　　　　　 ctfmon.exe　46,736 bytes
　　　　　 mmc.exe　45,197 bytes
　　　　　 IEXPLORE.EXE　45,105 bytes
　　　　　 stpgldk.exe　45,916 bytes
　　　　　 srogm.exe　46,366 bytes
　　　　　 spglsdr.exe　45,524 bytes
　　　　　 copypfh.exe　47,017 bytes
　　　　　 conime.exe　45,197 bytes
　　　　　 //以上文件均为游戏盗号木马(属于Trojan-PSW.Win32.OnLineGames)，它们还会被进行免杀处理。 因为系统环境问
　　　　　 题或没有安装相关游戏文件，有的文件会不能运行或运行出错。
　　 　(4) 运行以上文件会释放以下文件：
　　　　　 fyso.exe，jtso.exe，mhso.exe,qjso.exe,qqso.exe,wgso.exe,wlso.exe,wmso.exe,
　　　　　 woso.exe,ztso.exe,daso.exe,tlso.exe,rxso.exe 和(“相应文件名”＋0).dll
　　　　　 例：
　　　　　 fyso.exe 对应dll文件为fyso0.dll
　　 　(5) 并把文件名中的“o”改为“a” 做为注册表启动项的键名，添加到注册表中。
　　　　　 例： 　
　　　　　 键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　　　　　 键名：wosa
　　　　　　 键值："C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\woso.exe"
　　 　(6) 其中wlso0.dll插入所有非系统进程。

三、附：ARP病毒总结 　　　　　　//部分内容转自网络