自动弹出网页的恶意脚本分析

这几天在电脑开机后，都会自动弹出一个广告网站，在注册表中搜索弹出的网页，无果而返，接着再看了一下启动项，发现个VBS脚本文件：

弹出网页

找到这个脚本文件后，用记事本打开，代码如下：
00000:OnErrorResumeNext
00001:DimFso,wss,HKRegStr
00002:SetFso=CreateObject("Scripting.FileSystemObject")
00003:Setwss=CreateObject("WScript.Shell")
00004:HKRegStr=wss.RegRead("HKEY_CURRENT_USER\Software\Maxthon2\Folder")
00005:ifHKRegStr<>""then
00006:HKRegStr=HKRegStr+"\Maxthon.exe"    '默认使用傲游浏览器打开网站
00007:if(Fso.FileExists(HKRegStr))then
00008:wscript.sleep600000    '脚本运行10分钟之后再打开网站
00009:'网址之家.url是一个快捷方式文件，指向http://玉米/，所示：

网址之家

00010:CreateObject("WScript.Shell").run""""&HKRegStr&"""C:\Windows\system32\网址之家.url",x,ture
00011:setie=WScript.createobject("internetexplorer.application")
00012:ie.visible=0
00013:ie.navigate"http://玉米/ji.asp"        '接着再打开这个网址
00014:wscript.sleep10000    '暂时10秒
00015:ie.quit
00016:else
00017:'假如没有注册表中指定的Maxthon.exe，则用默认浏览器打开网址之家.url，也就是http://玉米/
00018:wscript.sleep600000
00019:CreateObject("WScript.Shell").run"C:\Windows\system32\网址之家.url",x,ture
00020:endif
00021:else
00022:'假如注册表HKEY_CURRENT_USER\Software\Maxthon2\Folder无键值，则10分钟后打开网址之家.url
00023:wscript.sleep600000
00024:CreateObject("WScript.Shell").run"C:\Windows\system32\网址之家.url",x,ture
00025:endif
清除方法：去掉启动项中的网址之家.vbs并将其删除，再将C:\Windows\system32\网址之家.url也清除，重启之后搞定。