AdskNLM，可疑的autodesk注册机

SakuraLuo25

我当时运行这个程序是为了破解3dsmax，现在发现这个软件可能是带毒的，不过当时卡巴斯基没报毒，我也是开着卡巴斯基运行的，我分别把VT分析结果扔到Chatgpt和gemini里分析了一下，都说是高危文件不能运行，下载链接我放在下面了，密码解压密码infected
https://endpointera.lanzn.com/i3Qac3shv2zc
密码:8c6n

VirusTotal - File - f582054f182d8443e7ca21d65caf8233d548ddab7ff5b1f3365e451f00a40974
上面的是VT的地址，如果有大佬能看得懂分析可以来看一下

顺便要不要把这个上报给卡巴斯基啊？

brui

elastic security双击拦截

啊松

上报个毛，这个工具没有问题，你实在怕就发给火绒分析一下@火绒工程师



一旦上报卡巴斯基那群猪头分析师只会无脑拉黑这些工具而不会认真分析这些工具是不是木马。


ksn多人使用

这个 PowerShell 脚本非常简单，作用是**卸载 3 个 Autodesk（欧特克）组件**：

```powershell
(Get-WmiObject Win32_Product -Filter "Name = 'Autodesk Single Sign On Component'").Uninstall()
(Get-WmiObject Win32_Product -Filter "Name = 'Autodesk Genuine Service'").Uninstall()
(Get-WmiObject Win32_Product -Filter "Name = 'Autodesk Network License Manager'").Uninstall()
```

### 逐行分析

#### 1. 卸载 Autodesk Single Sign On Component

```powershell
(Get-WmiObject Win32_Product -Filter "Name = 'Autodesk Single Sign On Component'").Uninstall()
```

* 使用 WMI 查询已安装的软件：

  ```powershell
  Get-WmiObject Win32_Product
  ```
* 找到名称为：

  ```
  Autodesk Single Sign On Component
  ```
* 调用：

  ```powershell
  .Uninstall()
  ```

  执行卸载。

该组件主要负责 Autodesk 账户登录功能。

---

#### 2. 卸载 Autodesk Genuine Service

```powershell
(Get-WmiObject Win32_Product -Filter "Name = 'Autodesk Genuine Service'").Uninstall()
```

卸载：

```
Autodesk Genuine Service
```

这是 Autodesk 的正版验证服务，用于检测许可证状态。

---

#### 3. 卸载 Autodesk Network License Manager

```powershell
(Get-WmiObject Win32_Product -Filter "Name = 'Autodesk Network License Manager'").Uninstall()
```

卸载：

```
Autodesk Network License Manager
```

这是 Autodesk 网络授权管理器，用于局域网许可证分发。

---

### 是否存在恶意行为？

从代码本身来看：

* 没有下载文件
* 没有联网
* 没有提权
* 没有注册启动项
* 没有释放驱动
* 没有执行混淆代码
* 没有读取密码或浏览器数据

因此它**不是典型木马脚本**。

它的功能仅仅是：

> 删除 Autodesk 的部分组件。

---

### 需要注意的问题

脚本使用了：

```powershell
Get-WmiObject Win32_Product
```

这类操作有一个副作用：

微软不推荐大量使用 `Win32_Product`，因为它会触发 MSI 软件的一致性检查（Repair Check），可能导致：

* 查询速度很慢
* 部分 MSI 软件自动修复
* 系统短时间内 CPU 占用升高

但这属于技术实现问题，不属于恶意行为。

---

### 总结

该脚本本质上相当于：

```text
卸载 Autodesk 登录组件
卸载 Autodesk 正版验证服务
卸载 Autodesk 网络许可证管理器
```

危险等级：**低**

恶意程度：**未发现恶意行为**

用途推测：

* 清理 Autodesk 残留
* 重装 Autodesk 软件前的准备工作
* 去除正版验证服务
* 解决 Autodesk 安装故障

仅凭这 3 行代码，无法认定其为木马或病毒。

这个文件是一个 **Autodesk（欧特克）FlexLM/FlexNet 网络许可证文件（.lic）**。

从开头几行就能看出来：

```text
SERVER this_host ID=777 27080
USE_SERVER port=2080
VENDOR adskflex
```

这表示：

* `SERVER`：许可证服务器配置
* `adskflex`：Autodesk 的授权服务
* `FEATURE`：具体软件授权项目

---

### 文件用途

这类文件通常用于：

* AutoCAD
* Maya
* 3ds Max
* Revit
* Inventor
* Navisworks

等 Autodesk 产品的网络授权。

例如文件中能看到：

```text
FEATURE 88245MAYA_2027_0F
FEATURE 882393DSMAX_2027_0F
FEATURE 88213RVT_2027_0F
```

对应：

* Maya
* 3ds Max
* Revit

等产品。

---

### 为什么有这么多 FEATURE

每个：

```text
FEATURE XXXXX
```

代表一个产品或模块的许可证。

例如：

```text
FEATURE 88245MAYA_2027_0F
```

表示 Maya 2027 的授权项。

```text
FEATURE 88213RVT_2027_0F
```

表示 Revit 的授权项。

```text
FEATURE 882393DSMAX_2027_0F
```

表示 3ds Max 的授权项。

---

### 可疑之处

我注意到：

```text
permanent 100
```

大量出现。

意思是：

* 永久授权（permanent）
* 100个席位（100 licenses）

而且文件中包含几十甚至上百个 Autodesk 产品。

这种情况在普通个人电脑上极少见。

---

### 如果这是从破解包里发现的

在 Autodesk 破解工具中，经常会出现：

```text
licenses.lic
adskflex.exe
lmgrd.exe
Network License Manager
```

这套文件。

原理一般是：

1. 安装 Autodesk Network License Manager
2. 使用自定义 license.lic
3. 启动 lmgrd/adskflex 服务
4. Autodesk 软件向本机授权服务器申请许可证

因此这类文件经常出现在：

* 网络版授权环境
* 教学环境
* 企业授权环境
* 破解补丁包

中。仅凭这个文件本身无法判断是否合法。

---

### 是否是木马？

单独看这个 `.lic` 文件：

* 不是可执行文件
* 不能运行代码
* 不会释放驱动
* 不会联网
* 不会盗号

它本质上只是一个**许可证配置文件**。

不过如果它和下面这些文件一起出现：

```text
lmgrd.exe
adskflex.exe
x-force.exe
keygen.exe
patch.exe
```

那么就需要进一步分析这些可执行文件，因为真正可能存在风险的是这些程序，而不是 `.lic` 文件本身。

但是啊

啊松 发表于 2026-6-21 19:17
上报个毛，没有问题的激活工具，你实在怕就发给火绒分析一下@火绒工程师

不要搞得别人没法用这些工具

突然发现火绒的好了

啊松

但是啊 发表于 2026-6-21 19:21
突然发现火绒的好了

之前病毒吧群有一个人，看到vt报毒风灵月影就喊吧主上报，结果卡巴就报了个黑客工具，然后这个人就嚷嚷着什么被资本做局了。从此以后我很讨厌将这些上报给卡巴分析，一般都直接扔火绒分析，然后看看沙箱有没有奇怪的启动项，没有启动项而且火绒分析没问题那就是没问题

真小读者

红伞kill

fdsax

emsi

心醉咖啡

360

吃瓜群众第123位

NANO kill

kkdy

avast拦截下载链接，本体文件估计也杀了