一个失效的QQ尾巴

点击打开hxxp://d***dkill.chaoku***ai.com/12***3.html后，会打开标题为：Oh,my god!   Goldsun[at]８４８２３７１４，内容为：You DO it!　的网页。

但在显示这些信息之前，该网页已经先执行了一段用自定义函数UnEncode()加密的VBScript脚本代码（代码中嵌入了多个“琳”字，难道是个MM？^_^），其功能是利用 Adodb.Stream、Microsoft.XMLHTTP 和 Scripting.FileSystemObject 把 hxxp://d***dkill.chaoku***ai.com/12***3.exe 保存为 %temp%／g0ld.com，并利用Shell.Application 对象 的 ShellExecute 方法来运行。

从文件名上看，很可能是蠕虫维金/Worm.Viking，不过由于hxxp://d***dkill.chaoku***ai.com/12***3.exe这个URL失效，无法下载文件作进一步分析。