Проблема с отображением ярлыков windows 7. Вирус создал ярлык флешки на флешке
Вчера на курсах подхватил на флешку вирус, который был немедленно детектирован и удален антивирусом на моем домашнем компе. Однако оказалось, что все папки на флешке стали ярлыками . Какое-то время назад я уже сталкивался с такой проблемой, поэтому знаю первое правило, позволяющее предотвратить заражение вашего компьютера: не в коем случае не пытайтесь открыть ярлыки к папкам! (даже если данные на флешке бесценны и вы хотите немедленно убедиться в том, что они никуда не пропали). Почему не стоит открывать эти ярлыки? Создатели вируса пошли на такую уловку: в свойствах этих ярлыков прописаны две команды:
- Первая запускает и устанавливает вирус на Ваш ПК
- Вторая открывает интересующую Вас папку
Т.е. пользователь, на компьютере которого не установлен антивирус, не обратив внимание на тот факт, что все каталоги на флешке теперь отображаются в виде ярлыков, может просто не знать, что флешка заражена, т.к. все папки на флешке открываются и информация в них на месте. В некоторых модификациях подобного вируса папки перестают открываться, даже если щелкнуть по ярлыку. В любом случае, не паникуйте, не спешите форматировать флешку и читайте внимательно инструкцию ниже. Поймите, каталоги никуда не делись, они как лежали на флешке так и лежат. Просто вирус скрыл папки на флешке, т.е. им назначены соответствующие атрибуты (скрытый, архивный). Наша задача: уничтожить вирус и снять эти атрибуты.
Итак, ниже я приведу инструкцию, описывающую что делать, если папки на флеше стали ярлыками
Избавляемся от вируса.
Первым делом необходимо избавиться от исполняемых фалов вируса. Это можно сделать с помощью любого антивируса, если же его нет – то вручную. Как же найти файлы зловреда?
Так же рекомендую посмотреть исполняемые файлы вируса в следующих каталогах:в Windows 7 — C:\users\имя_пользователя\appdata\roaming\ в WindowsXP — C:\Documents and Settings\имя_пользователя\Local Settings\Application Data\
Если в этих каталогах имеются файлы с расширением «.exe », то скорее всего это файл вируса и его можно удалить (на незараженном компьютере в этом каталоге.exe файлов быть не должно).
Восстанавливаем вид каталогов и доступ к папкам
В зависимости от модификации вируса оригинальным папкам присваиваются системные атрибуты «скрытая» и «системная», либо они перенесены в некую также скрытую папку, созданную вирусом. Просто так эти атрибуты не снять, поэтому придется воспользоваться командами сброса атрибутов через командную строку. Это также можно сделать вручную или с помощью командного файла. Затем оставшиеся ярлыки на папки можно удалить – они нам не нужны
Ручной способ:- Открываем командную строку (Пуск->Выполнить->набираем cmd ->Enter)
- В появившемся черном окне вводим команды, после набора каждой нажимаем Enter
и запускаем его. Файл содержит следующий код:
:lbl cls set /p disk_flash="Enter flash drive: " cd /D %disk_flash%: if %errorlevel%==1 goto lbl cls cd /D %disk_flash%: del *.lnk /q /f attrib -s -h -r autorun.* del autorun.* /F attrib -h -r -s -a /D /S rd RECYCLER /q /s explorer.exe %disk_flash%:
При запуске программа просит вас указать имя диска флешки (например, F: ), а затем сама удаляет все ярлыки, фалы autorun.*, восстанавливает атрибуты на каталогах, удаляет папку с вирусом RECYCLER и, наконец, отрывает в проводнике флешку.
Надеюсь, эта заметка будет полезной. Если у вас встретятся другие модификации вируса, делающего папки на флешке ярлыками – описывайте симптомы в комментариях, попытаемся разобраться с проблемой вместе!
Вы открыли свой USB-носитель информации, а от файлов и папок остались одни ярлыки? Главное без паники, ведь, скорее всего, вся информация в целости и сохранности. Просто на Вашем накопителе завелся вирус, с которым вполне можно справиться самостоятельно.
Такой вирус может проявлять себя по-разному:
- папки и файлы превратились в ярлыки;
- часть из них вообще исчезла;
- несмотря на изменения, объем свободной памяти на флешке не увеличился;
- появились неизвестные папки и файлы (чаще с расширением «.lnk» ).
Прежде всего, не спешите открывать такие папки (ярлыки папок). Так Вы собственноручно запустите вирус и только потом откроете папку.
К сожалению, антивирусы через раз находят и изолируют такую угрозу. Но все же, проверить флешку не помешает. Если у Вас установлена антивирусная программа, кликните правой кнопкой по зараженному накопителю и нажмите на строку с предложением провести сканирование.
Если вирус удалится, то это все равно не решит проблему исчезнувшего содержимого.
Еще одним решением проблемы может стать обычное форматирование носителя информации. Но способ этот довольно радикальный, учитывая что Вам может понадобиться сохранить данные на ней. Поэтому рассмотрим иной путь.
Шаг 1: Делаем видимыми файлы и папкиСкорее всего, часть информации вообще будет не видна. Так что первым делом нужно заняться этим. Вам не понадобится никакое стороннее ПО, так как в данном случае можно обойтись и системными средствами. Все, что Вам нужно сделать, заключается вот в чем:
Теперь все, что было скрыто на флешке, будет отображаться, но иметь прозрачный вид.
Не забудьте вернуть все значения на место, когда избавитесь от вируса, чем мы и займемся далее.
Шаг 2: Удаляем вирусКаждый из ярлыков запускает файл вируса, а, следовательно, «знает» его расположение. Из этого и будем исходить. В рамках данного шага сделайте вот что:
Шаг 3: Восстанавливаем нормальный вид папокОсталось снять атрибуты «скрытый» и «системный» с Ваших файлов и папок. Надежнее всего воспользоваться командной строкой.
Так сбросятся все атрибуты и папки снова станут видимыми.
Альтернатива: Использование пакетного файлаМожно создать специальный файл с набором команд, который проделает все эти действия автоматически.
При активации этого файла Вы не увидите ни окон, ни строки состояния – ориентируйтесь по изменениям на флешке. Если на ней много файлов, то возможно, придется подождать 15-20 минут.
Что делать, если через некоторое время вирус снова появилсяМожет случиться так, что вирус снова себя проявит, при этом флешку Вы не подключали к другим устройствам. Напрашивается один вывод: вредоносное ПО «засело» на Вашем компьютере и будет заражать все носители. Из ситуации есть 3 выхода:
- Сканировать ПК разными антивирусами и утилитами, пока проблема не решится.
- Использовать загрузочную флешку с одной из лечащих программ ( , Avira Antivir Rescue System и прочие).
- Переустановить Windows.
Специалисты говорят, что такой вирус можно вычислить через «Диспетчер задач» . Для его вызова используйте сочетание клавиш «CTRL» + «ALT» + «ESC» . Следует искать процесс с примерно таким названием: «FS…USB…» , где вместо точек будут случайные буквы или цифры. Найдя процесс, можно кликнуть по нему правой кнопкой и нажать «Открыть место хранения файла» . Выглядит это так, как показано на фото ниже.
Но, опять-таки он не всегда запросто удаляется с компьютера.
Выполнив несколько последовательных действий, можно вернуть все содержимое флешки в целости и сохранности. Чтобы избежать подобных ситуаций, почаще пользуйтесь антивирусными программами.
Довольно часто встречающийся сегодня вирус, когда все папки на флешке становятся скрытыми, а вместо них появляются ярлыки с теми же названиями, но способствующие распространению вредоносной программы, у многих вызывает некоторые затруднения. Не слишком сложно удалить этот вирус, сложнее бывает избавиться от его последствий - убрать атрибут скрытый у папок, учитывая что в свойствах этот атрибут неактивен. Давайте по порядку рассмотрим, что делать, если такая напасть как скрытые папки и ярлыки вместо них случилась с вами.
Лечение вируса
Если антивирус не убрал этот вирус сам (почему-то некоторые антивирусы не видят его), то можно поступить следующим образом: кликаем правой клавишей мыши по ярлыку папки, созданным этим вирусом, и смотрим в свойствах, на что именно указывает этот ярлык. Как правило, это некий файл с расширением.exe, находящийся в папке RECYCLER в корне нашей флешки. Смело удаляем этот файл и все ярлыки папок. Да и саму папку RECYCLER можно также удалить.
Если на флешке присутствует файл autorun.inf, то также удалите и его - этот файл провоцирует флешку автоматически что-то запускать после того, как Вы ее вставили в компьютер.
- Для Windows 7 C:\users\ваше имя пользователя\appdata\roaming\
- Для Windows XP C:\Documents and Settings\имя пользователя\Local Settings\Application Data\
Кстати, если Вы не знаете, как отобразить скрытые папки, то на всякий случай вот что нужно сделать: зайдите (Windows 7 и Windows 8) в Панель управления, там выберите пункт “Параметры папок», вкладку «Вид» и ближе к концу списка установите опции, чтобы компьютер отображал и скрытые и системные файлы с папками. Желательно также убрать галочку «не отображать расширения зарегистрированных типов файлов». В итоге, на флешке Вы будете видеть и сами скрытые папки и ярлыки на них, до тех пор, пока последние не будут удалены.
Убираем атрибут скрытый у папок
После того, как вирус вылечен антивирусом или вручную, остается одна проблема: все папки на накопителе так и остались скрытыми, причем сделать их видимыми стандартным способом - изменив соответствующее свойство не получается, так как галочка «скрытый» неактивна и отображается серым цветом. В таком случае необходимо создать в корне пострадавшей флешки bat файл со следующим содержимым:
Attrib -s -h -r -a /s /d Затем запустить его от имени администратора, в результате чего проблема должна решиться.Как создать bat файл: создаем обычный файл в блокноте, копируем туда вышеуказанный код и сохраняем файл с любым именем и расширением файла.bat
Как убрать вирус и сделать папки видимыми
Нашел на просторах сети еще один способ избавиться от описанной проблемы. Этот способ, пожалуй, будет попроще, но не везде сработает. Однако в большинстве случаев он все же поможет привести USB флешку и данные на ней в нормальное состояние. Итак, создаем bat файл следующего содержания, после чего запускаем его от имени администратора:
:lable cls set /p disk_flash="Vvedite bukvu vashei fleshki: " cd /D %disk_flash%: if %errorlevel%==1 goto lable cls cd /D %disk_flash%: del *.lnk /q /f attrib -s -h -r autorun.* del autorun.* /F attrib -h -r -s -a /D /S rd RECYCLER /q /s explorer.exe %disk_flash%:
После запуска компьютер запросит ввести букву, соответствующую Вашей флешке, что и следует сделать. Затем, после того, как автоматически будут удалены ярлыки вместо папок и сам вирус, при условии нахождения его в папке Recycler, Вам будет показано содержимое вашего USB накопителя. После этого рекомендую, опять же, обратить на содержимое системных папок Windows, речь о которых шла выше, в первом способе избавиться от вируса.
Имел неосторожность воткнуть свою флешку в компьютер коллективного пользования, и тут же получил подарок в виде вируса. И это несмотря на установленный на нем антивирус Касперского. При попытке зайти на флешку, в корневом каталоге обнаружил ярлык флешки. Все остальные файлы и папки исчезли.
Вначале я не на шутку распереживался, поскольку на флешке были важные данные, а бэкап я делал уже довольно давно. Но все таки — это была не физическая смерть данных. Флешка оставалась заполненной, прекрасно открывалась и я понял что смогу решить проблему.
По запросу «ярлык флешки на флешке» поисковики вывели довольно много вопросов пользователей на различных сервисах и форумах. Вероятно вирус начал активно распространяться недавно и проблема актуальна не только для меня.
Как исправить ситуацию
Решения проблемы необходимо разделить на два пункта. Первое — это возвращение вместо ярлыка, на флешку, всех файлов и папок целыми и невредимыми. И второе — это удаление вируса и предотвращение его дальнейшего распространения.
Вернуть файлы на флешку
Как исправить ситуацию и вернуть все файлы и папки на флешку? На самом деле все очень просто. Необходимо вставить флешку в компьютер, вызвать командную строку, прописать следующие команды:
cd /d X: (вместо Х вы вводите букву каталога вашей флешки)
attrib -s -h -a -r /s /d *.* (прописываете точно как указано)
Если файлов на флешке действительно много, может показаться что ничего не происходит или командная строка подвисла. Не переживайте, спустя некоторое время в корневом каталоге флешки появятся новые файлы и папки. В папке без названия «-» будут лежать все исчезнувшие файлы и папки.
Вам останется лишь удалить лишние файлы, и вырезать из папки «-» ваши файлы и вставить их назад в корневой каталог. Только пока не удаляйте autofun.inf (читайте об этом в самом конце).
Для автоматизации процесса я сделал небольшой батник (файл.bat) который можно просто скопировать на флешку и запустить. Он выполняет указанную выше команду, просто её не будет нужно прописывать в командной строке.
Ну и может быть он пригодится тем, у кого заражена целая сеть и много людей обращаются с проблемой ярлыка флешки на флешке. Иногда легче дать людям батник и показать как он работает, чем по 20 раз возвращать флешку к жизни самому.
Удалить вирус
Осталось дело за малым, удалить вирус с компьютера, чтобы остановить дальнейшее распространение.
Для этого скачиваем программу Process Explorer от Майкрософт с официального сайта .
Жмем Ctrl + L и в окне в нижней части программы ищем процесс autorun.inf Вероятнее всего он будет находиться в ветке svchost.exe .
Жмем правой кнопкой мыши и выбираем Close handle (закрываем процесс). После чего удаляме с флешки файл autofun.inf .
Во временной папке Temp (C:\users\%username%\AppData\Local\Temp) ищем файл с необычным расширением.pif и удаляем его (можно воспользоваться поиском).
Всё, теперь вы точно удалили вирус и с флешки и с компьютера.
Интересная предистория:
Сегодня столкнулся с очень интересным вирусом (подхватил через зараженную флешку, которая побывала в компьютере на кафедре университета). Принцип его действия заключается в том, что зараженная флешка создает ярлык самой себя (указывая при этом, что место расположения файлов - rundll32.exe), куда помещает все файлы. Причем, с первого взгляда может показаться, что это обычный глюк, и можно просто извлечь файлы из "ярлыка", сам ярлык удалить, и проблемы закончатся.
И хотя файлы никуда не деваются, и особых трудностей в работе с флешкой не возникает. Но, при подключении к компьютеру скрипт вируса записывается в систему, и создает опасную среду для заражения других флешек, попутно "создавая" пару-тройку backdoor"ов.
P.S. Интересно, но вирус распространяется только(!) через флеш-накопители. Лечение:
Подключите флешку в USB-выход, и откройте командную строку. Далее следует прописать следующие команды:
cd /d X: (где X: - буква каталога, которой обозначается подключенная флешка); attrib -s -h -a -r /s /d *.* (да-да *.* тоже нужно прописывать).
Теперь, открыв флешку Вы можете лицезреть все скрытые файлы:
Удалите все файлы, за исключением файла autorun.inf .
Теперь открываем программу Process Explorer (если у Вас ее нет - можете скачать ). Сразу хочу сказать, что у некоторых могут возникнуть проблемы с правами, поэтому рекомендую сразу выполнить операцию "File - Show Details for All Processes".
Теперь зажмите комбинацию клавиш Ctrl+L (откроется окошко внизу, где показываются все процессы). Теперь нужно найти файл autorun.inf (можно вручную - процесс находится в ветке svchost, а можно через Ctrl+F).
Теперь кликаем правой кнопкой мыши по процессу, и выбираем функцию Close handle (процесс должен быть закрыт без всяких возражений). Затем нужно удалить файл autorun.inf на самой флешке.
Далее идем в папку Temp (кто не знает - папка скрыта, и находится по адресу C:\users\%username%\AppData\Local\Temp), и ищем странный файл. Он имеет расширение .pif , и его можно найти с помощью поиска или вручную; его, также, нужно удалить (хотя проще удалить все из папки Temp - все-равно вреда не будет).
Все. Теперь, если Вы все верно сделали (по идее) - Ваш ПК очищен от этой гадости.
P.S. Лично я после очистки перезагрузил ноутбук, и проверил двумя флешками - вроде-бы все нормально. P.P.S. Можно, также, после очистки сделать проверку системы CureIT"ом - так, на всякий случай.
Upd 1. Вирус может глубоко засесть в реестре, и "терроризировать" Вас даже после проведенной процедуры лечения. Что-бы избавится от него раз и навсегда проведите следующую операцию: в ветке HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\Load реестра найдите и удалите ссылку на данный файл.