На флешке все файлы стали ярлыками: как исправить и удалить вирус?

ВНИМАНИЕ! Ни в коем случае не открывайте ярлыки или подозрительные файлы на флешке – вы можете запустить вирус на свой ПК. Сначала проверяем носитель антивирусом, потом возвращаем скрытые файлы, и только после этого открываем нужные документы.

Всем привет! Сегодня столкнулся с такой проблемой – открываю я флешку, а на ней вместо файлов ярлыки. Сразу возник вопрос: а как это можно вылечить, и есть ли вероятность вернуть поврежденные данные. По началу даже испугался немного, так как на флешке были очень важные документы и фотографии с видео. Но в итоге мне удалось их восстановить, и сейчас я расскажу – как у меня это получилось.

Как я и догадывался, если все файлы или папки на флешке стали ярлыками, то чаще всего там поработал вирус. Обычно он делает простую гадость: настоящие папки скрывает, добавляет им системный атрибут, а вместо них создает ярлыки с расширением «.lnk». Пользователь думает, что открывает свою папку, а на самом деле запускает вредоносный файл, который может лежать на этой же флешке в скрытой папке. Может наблюдаться исчезновение некоторых папок, также объем самой флешки и занятой памяти не меняется и остается на прежнем уровне. Также у некоторых могут появиться другие файлы и папки с расширением «lnk».

ПРИМЕЧАНИЕ! Если занятое место на флешке осталось прежним, это хороший признак. Значит файлы чаще всего не удалены, а просто скрыты. Если же флешка стала пустой, объем занятой памяти равен нулю или Windows предлагает ее отформатировать, ситуация уже другая. Тогда сначала не форматируем носитель, а пробуем восстановление данных или проверку накопителя.

Еще один важный момент. В современных Windows автозапуск программ с USB-накопителей сильно ограничен, поэтому старые вирусы через «autorun.inf» уже не так опасны, как раньше. Но ярлычный вирус все равно может сработать, если вы сами два раза нажмете по зараженному ярлыку. Поэтому главное правило простое: не открываем ярлыки на флешке, даже если они называются как ваши папки.

ШАГ 1: Проверка антивирусом

Вообще сам вирус достаточно древний и существует уже очень давно. Поэтому в первую очередь проверяем носитель антивирусной программой. Открываем «Мой компьютер», нажимаем правой кнопкой по флешке или жесткому диску и выбираем пункт сканирования.

Если у вас Windows 10 или Windows 11, можно использовать встроенный Microsoft Defender. Откройте «Безопасность Windows» – «Защита от вирусов и угроз» – «Параметры сканирования» и выберите выборочную проверку флешки. Если есть сторонний антивирус, например Kaspersky, Dr.Web, ESET или другой, можно проверить им. Главное – перед проверкой обновите базы, потому что вредоносные ярлыки могут быть старыми, но сам запускаемый файл может быть новым.

Теперь может быть два сценария. Первый – антивирус не найдет вирус и не устранит его, тогда его придется выуживать вручную – об этом я расскажу чуть ниже. Второй – вирус удалится, но файлы все равно нужно будет возвращать. Это нормально, потому что антивирус обычно удаляет вредоносный файл, но не всегда возвращает нормальные атрибуты папкам.

ВАЖНО! Если антивирус удалил что-то с флешки, не спешите сразу открывать файлы. Сначала выполните следующий шаг и верните скрытые папки. Потом скопируйте важные данные на компьютер, еще раз проверьте их антивирусом и только после этого думайте о дальнейшем использовании флешки.

Если вы хотите временно отключить антивирус для какой-то операции, делайте это аккуратно. В этой статье отключать защиту не нужно, но если вы не понимаете, где находятся настройки Microsoft Defender, можно посмотреть отдельную инструкцию – как отключить или включить антивирус Windows.

ШАГ 2: Возвращаем файлы

Сразу скажу, что большая часть файлов и папок остались и просто скрыты, а вирус дополнительно создает из них ярлыки, чтобы запутать жертву. Чтобы увидеть все файлы, нужно:

1. В верхнем меню найдите раздел «Упорядочить» и зайдите в «Параметры папок».

2. На вкладке «Вид» пролистываем в самый низ и сначала убираем галочку, чтобы скрывались системные файлы, а потом установите параметр «Показывать скрытые файлы и папки» – смотрим на картинку ниже.

3. В самом конце не забудьте нажать «Применить».

В Windows 10 и Windows 11 путь может выглядеть немного иначе. Откройте «Проводник», нажмите «Вид» или «Показать» и включите «Скрытые элементы». Также полезно включить «Расширения имен файлов», чтобы видеть, где настоящий документ, а где ярлык с «.lnk». Если не получается найти эти параметры, есть отдельная инструкция – как сделать скрытые файлы на флешке видимыми.

Если зайти на флешку, то все папки, которые ранее были скрыты, будут отображаться, но будут иметь прозрачный скрытый вид. Чтобы вернуть им обратно состояние, нажмите правой кнопкой по файлику или папке и зайдите в «Свойства».

Сразу на первой вкладке «Общие» уберите галочку «Скрытый» и нажмите «Применить». Если файлов слишком много, то давайте сделаем их всех видимыми чуть позднее, а сейчас нужно полностью избавиться от вируса, если с этим не справился антивирусник.

СОВЕТ! Если вы увидели свои настоящие папки, сначала скопируйте самые важные данные на компьютер в отдельную папку. Не копируйте ярлыки, неизвестные EXE-файлы, BAT-файлы, SCR-файлы и странные папки вроде «RECYCLER» или «System Volume Information», если вы не понимаете, что это. Нужны только ваши документы, фотографии, видео, архивы и рабочие файлы.

ШАГ 3: Как удалить вирус?

Теперь давайте подумаем – а где может скрываться сам вирус? Файлы превратились в ярлыки, а эти самые ярлыки и запускают вредоносную программу, которая в дальнейшем должна распространиться на ваш компьютер. Следовательно, в параметрах ярлыков должна быть прописана команда или путь к запускаемому файлику. Итак, нажимаем правой кнопкой по любому ярлыку и выбираем «Свойства».

Сначала идет команда, но нас интересует конец строки. В самом конце есть запускаемый файлик «exe» – это и есть вирус. Чуть левее через косую черту идет расположение файла, то есть его папка. В моем случае это папка с названием «RECYCLER», но у вас может быть что-то другое.

Сама эта папка была тоже ранее скрыта, но после прошлых манипуляций она также будет отображаться как скрытая. Вам нужно просто выделить ее и удалить – желательно в обход корзине, то есть нажмите одновременно на Shift и кнопку Delete. Также не забудьте удалить все ярлыки.

Обращайте внимание на расширение файла. Настоящая папка не может иметь расширение «.lnk». Если включено отображение расширений, зараженный ярлык будет выглядеть как «Фото.lnk», «Документы.lnk» или «Видео.lnk». Настоящая папка будет просто папкой без такого расширения. Если вы не знаете, как включить отображение расширений, можете посмотреть отдельную инструкцию – как в Windows показать и изменить расширение файла.

ОСТОРОЖНО! Не удаляйте сразу все подряд, если не уверены. Удаляем ярлыки «.lnk», подозрительные исполняемые файлы и папку, на которую указывает ярлык. Ваши реальные папки после включения скрытых элементов должны выглядеть как обычные папки, только полупрозрачные. Если сомневаетесь, сначала скопируйте важные данные в безопасное место.

ШАГ 4: Вернуть обычный вид папкам

Конечно можно сделать это вручную для каждой папки и файла, но если у вас большой жесткий диск или много папок, то займет это очень много времени. Поэтому лучше всего это сделать через командную строку:

1. Найдите на клавиатуре вспомогательную клавишу «Windows» () и английскую R – нажмите на них одновременно.

2. Прописываем команду из трех букв «cmd».

3. Еще раз откройте проводник и посмотрите, какую букву присвоила система вашей флешке. В моем случае это буква «E». Далее нужно прописать команду:

cd /d e:\

Вместо «e» вставьте букву вашей флешки.

4. Теперь вводим команду, которая убирает атрибуты «скрытый», «системный» и «только для чтения» у файлов и папок на флешке:

attrib -s -h -r /s /d *.*

5. Нажимаем Enter и ждем, пока команда отработает. Если файлов много, консоль может немного подумать.

ПРИМЕЧАНИЕ! Если команда не срабатывает, попробуйте запустить командную строку от имени администратора. Также проверьте, что вы действительно перешли на букву флешки, а не работаете с диском C.

После этого папки должны стать обычными. Если ярлыки остались, удаляем их вручную или командой:

del *.lnk /q

Если на флешке был файл автозапуска, его тоже можно удалить:

del autorun.* /q

ПРИМЕЧАНИЕ! Команда attrib не восстанавливает удаленные файлы. Она просто возвращает видимость тем файлам и папкам, которые вирус спрятал. Если нужных данных после этого нет, значит они могли быть удалены, перемещены или повреждены. Тогда уже нужны программы восстановления данных.

ШАГ 5: Проверка компьютера

Проблема в том, что частенько пользователи нечаянно открывают зловредные ярлыки и тем самым заражают вирусом свой компьютер. Ничего в этом страшного нет, сам грешил этим. Наша задача найти и удалить этот вирус. Первое, что вы должны сделать, так как это полностью проверить компьютер своей антивирусной программой – не важно, что у вас. Желательно перед этим обновить вирусные базы, возможно, этот вирус свежий и новый.

Если у вас Windows 10 или Windows 11, дополнительно можно запустить автономную проверку Microsoft Defender. Откройте «Безопасность Windows» – «Защита от вирусов и угроз» – «Параметры сканирования» – «Автономная проверка Microsoft Defender». Компьютер перезагрузится и проверит систему до обычной загрузки Windows. Такой вариант полезен, если вирус прячется в автозагрузке или мешает обычному антивирусу.

Если вам удалось его удалить, то радоваться рано – вам нужно следить, чтобы данная проблема не появилась вновь. Поэтому советую сохранить эту статью, так как далее я разберу варианты, когда вирус все же засел у вас на компьютере, не лечится и его нужно срочно удалять вручную.

Один из вариантов можно попробовать найти его в «Диспетчере задач» – чтобы туда попасть, нажмите на клавиши Ctrl + Shift + Esc. Второй вариант – это нажать на нижнюю рабочую линию правой кнопкой и выбрать «Запустить диспетчер задач».

На вкладке «Процессы» установите сортировку по «Описанию», чтобы увидеть процессы без подписи. Наша задача найти вирус, чаще всего он имеет в своем названии слово «USB», непонятный набор букв или маскируется под системный процесс. Чтобы не отключить лишнее, по каждому подозрительному процессу стоит погуглить название.

В Windows 10 и Windows 11 в «Диспетчере задач» можно нажать правой кнопкой по подозрительному процессу и выбрать «Открыть расположение файла». Если файл находится в странной папке внутри AppData, Temp, скрытой папке на флешке или имеет случайное имя, это повод проверить его антивирусом. Но не удаляйте системные файлы наугад. Сначала проверяем расположение, подпись файла и название процесса.

Если его здесь не получается найти, то скорее всего он сидит в автозапуске. Автозапуск в Windows 10 и Windows 11 находится тут же в «Диспетчере задач». В Windows 7 нужно нажать + R и ввести команду: «msconfig».

Отключите все подозрительное и неизвестное. Не нужно бездумно выключать вообще все подряд, особенно драйверы, антивирус, программы тачпада, звука и системные компоненты ноутбука. Путь к вирусу может отображаться в столбце «Расположение» – просто пройдите туда и удалите его, если обнаружите. Также стоит обращать внимание на строку «Производитель» – обычно вирус никакой нормальной лицензионной подписи не имеет.

Файлы автозапуска также могут находиться и в других местах. Поэтому поводу есть отдельные инструкции по Windows 7 и Windows 10.

СОВЕТ! После лечения компьютера вставьте флешку еще раз и проверьте, не появляются ли ярлыки снова. Если они снова создаются автоматически, значит вирус остался на компьютере или на другом устройстве, куда вы вставляете носитель. В таком случае лечить нужно не только флешку, но и все компьютеры, через которые она проходила.

Лечение флешки одним BAT файлом

Если лень проделывать все вышеперечисленное, то можно создать файлик, который все это будет делать за вас. Но запускать BAT-файл нужно только в корне зараженной флешки. Если запустить его не там, вы можете удалить ярлыки и изменить атрибуты не на том диске. Поэтому внимательно смотрите, куда вы сохраняете файл.

Для этого:

1. На рабочем столе или в любой другой области компьютеру нажмите правой кнопкой и создайте текстовый файл.

2. Назвать его можете как угодно – это не имеет значения. Зайдите теперь внутрь и пропишите строки:

@echo off
attrib -s -h -r /s /d *.*
rd RECYCLER /s /q
del autorun.* /q
del *.lnk /q
pause

3. Нажмите «Файл» и «Сохранить».

4. Теперь закройте его, нажмите правой кнопкой и из списка выберите «Переименовать».

5. Вместо «txt» впишите «bat». Точка перед этим обязательно должна стоять. Подтвердите изменение, нажав «Да».

Теперь он превратился в запускаемый «BAT» файлик. Скопируйте его именно в корень флешки, откройте флешку и запустите файл оттуда двойным щелчком мыши. После этого через консоль он проделает все те же самые действия, что вы делали чуть ранее: сделает папки видимыми, попробует удалить папку с вирусом и ярлыки.

ПРИМЕЧАНИЕ! Если данный способ не помог, то скорее всего папка у вируса называется как-то по-другому, поэтому нужно использовать ручное удаление. Посмотрите свойства любого ярлыка и найдите, на какой EXE-файл он ссылается.

Что делать после восстановления файлов

После того как вы вернули папки и удалили ярлыки, я бы не продолжал пользоваться флешкой как ни в чем не бывало. Сначала скопируйте все важные данные на компьютер. Потом еще раз проверьте их антивирусом. После этого лучше полностью отформатировать флешку, чтобы убрать остатки мусора, скрытые папки, подозрительные файлы и битые записи.

Форматирование делается просто: откройте «Этот компьютер», нажмите правой кнопкой мыши по флешке и выберите «Форматировать». Для обычной флешки чаще всего подойдет exFAT или FAT32, в зависимости от размера и того, где вы будете ее использовать. Если флешка не форматируется, смотрите отдельную инструкцию – что делать, если флешка не форматируется.

ВНИМАНИЕ! Форматирование удалит все данные с флешки. Делайте его только после того, как скопировали нужные документы, фотографии, видео и другие файлы. Если данные не копируются или пропадают, сначала занимайтесь восстановлением, а уже потом форматированием.

Как защититься от повторного заражения

Самая частая причина повторного заражения – флешку вставляют в чужие компьютеры: на работе, в учебном заведении, типографии, фотосалоне, сервисе или у знакомых. Если один из таких компьютеров заражен, флешка снова получает ярлыки вместо папок. Поэтому после лечения носителя желательно понять, где именно он заразился.

Что я советую сделать:

• Не открывать ярлыки на флешке, если вы ожидали увидеть папки.
• Всегда включать отображение расширений файлов в Windows.
• Проверять флешку антивирусом после чужого компьютера.
• Не хранить важные документы только на одной флешке.
• Делать копии важных файлов на компьютер, внешний диск или облако.
• Не запускать неизвестные EXE, BAT, CMD, SCR, VBS и JS файлы с USB-носителей.

Если вам часто приходится носить документы между разными компьютерами, заведите отдельную «рабочую» флешку, на которой нет единственной копии важных данных. Для особо важных файлов лучше использовать облачное хранилище, архив с паролем или внешний диск, который не подключается к подозрительным компьютерам. Если флешка нужна только для печати документов, храните на ней копии, а не оригиналы.

Частые вопросы

Файлы на флешке стали ярлыками – они удалены?

Чаще всего нет. Обычно вирус скрывает настоящие папки и создает вместо них ярлыки. Если занятое место на флешке осталось прежним, шанс вернуть данные высокий. Сначала включите показ скрытых файлов, потом используйте команду attrib -s -h -r /s /d *.*.

 

Можно ли открывать ярлыки на флешке?

Нет. Ярлык может запускать вредоносный EXE-файл. Даже если он называется как ваша папка, не открывайте его. Сначала проверяем флешку антивирусом, смотрим свойства ярлыка, удаляем вирус и возвращаем скрытые файлы.

 

Почему после удаления ярлыков они появляются снова?

Скорее всего, заражен компьютер, в который вы вставляете флешку. Вирус сидит в системе, автозагрузке или подозрительном процессе и снова создает ярлыки на USB-носителе. Нужно проверять не только флешку, но и сам ПК.

 

Что делает команда attrib?

Она меняет атрибуты файлов и папок. В нашем случае команда убирает признаки «скрытый», «системный» и «только для чтения». После этого папки снова становятся видимыми в проводнике Windows.

 

Нужно ли форматировать флешку после лечения?

Я бы советовал да, но только после копирования важных данных. Форматирование помогает убрать остатки заражения, мусорные файлы и скрытые папки. Если данные нужны, сначала копируем, потом проверяем, и только после этого форматируем.

 

Антивирус ничего не нашел, но папки все равно ярлыки. Что делать?

Так бывает. Антивирус мог не увидеть угрозу или вирус уже был удален, а атрибуты папок остались измененными. Включите показ скрытых файлов, удалите ярлыки и выполните команду attrib -s -h -r /s /d *.* на букве флешки.

 

Можно ли лечить флешку BAT-файлом?

Можно, если вы понимаете, что делаете, и запускаете файл именно в корне флешки. BAT-файл просто выполняет те же команды: показывает скрытые файлы, удаляет ярлыки и пытается удалить типовые папки вируса. Если папка вируса называется иначе, придется искать ее вручную через свойства ярлыка.

 

Почему на флешке появилась папка RECYCLER?

RECYCLER может использоваться вирусами для маскировки, но похожие служебные папки иногда встречаются и в нормальной работе Windows. В случае с ярлычным вирусом смотрите свойства ярлыка. Если он запускает EXE-файл из RECYCLER или похожей скрытой папки, это явный повод удалить эту папку после проверки.

 

Как понять, что флешка безопасна?

После лечения ярлыки не должны появляться снова, антивирус не должен находить угрозы, а файлы должны открываться как обычные документы, фото и папки. Дополнительно можно скопировать данные, отформатировать флешку и снова проверить ее антивирусом. Если после подключения к вашему компьютеру ярлыки снова появляются, лечить нужно компьютер.