AutoCAD 会把 AutoLISP 编译成 FAS 二进制格式，并用 VLX 容器打包多个模块。两者都是闭源格式、缺少公开文档，却在工程环境里被反复滥用——那里既没有开放的格式规范，也没有版本化的工具链，而专有 CAD 数据往往又不允许送进云端沙箱。
还原工作覆盖两层：FAS4 二进制格式（双加密流与滚动 XOR 恢复过程），以及用于打包多个 AutoCAD 模块的 VLX VRTLIB-1 容器。恢复之后，符号、API、字符串、路径与注册表引用会被提升为面向安全的中间表示——行为分析与 ATT&CK 映射的证据正建立在这一层之上。
CADscanner 在其上构建可复现的流水线：自动化提取、AST 级重建、规则判定，以及用于辅助分诊的大模型集成。系统快到可以部署在网络边界——单文件分析耗时低于 15ms——并已集成进深信服 OT 安全流水线。
评测使用 983 个样本、覆盖 23 个恶意代码家族的基准，并采用家族正交协议，避免分类器在自己见过的变体上刷分。家族正交的本地检测达到 95.8% TPR / 2.2% FPR。
论文：《CADscanner: Automating Malware Analysis for Compiled AutoCAD Scripts in Engineering Environments》，ASE 2026（Industry Track）。作者：Luxing Yin†、Chang Sun†、Chenghui Liang 等（† 共同一作，同等贡献）。DOI: 10.1145/3832783.3834495
会议报告：Black Hat Europe 2026 Briefings。Session