На работе закрался в компьютеры интересный вирус. Он создаёт ярлык флешки на самой флешке и когда человек подключает такую флешку, то думает что это безобидный глюк и запускает ярлык. А ярлык в свою очередь исполняет вредоносный код, записанный в свойствах, а потом только открывает пользователю папку с файлами. Антивирусные программы оказались бессильными, решил самостоятельно попробовать устранить эту беду.

Вирус распространяется только через USB флеш накопители

Итак, если зайти в Google с запросом Вирус создаёт ярлык флешки на флешке мы увидим специальные ветки на форумах (пример темы на cyberforum.ru (http://www.cyberforum.ru/viruses/thread970282.html)), где люди просят удалить эту ерунду.

Для устранения вируса, создающего ярлык флешки на флешке, нужно отправить отчёты сканирования компьютера, затем выполнить рекомендации гуру и всё. А что делать если заражённым оказался весь парк компьютерной техники? Очень накладно будет отправить отчёт по каждому ПК, т.к. не все сотрудники смогут это сделать. Да и пролечить флешки всем без исключения тоже геморно по времени.

Как вариант, решил попробовать самостоятельно изучить этот вирус. Для этого установить виртуальный Windows в VirtualBox, заразил его инфицированной флешкой. Сейчас занимаюсь поиском универсального и простого способа очистить компьютеры от вируса, создающего ярлык флешки на флешке, а также защитить систему от инфецированных usb носителей.

Соображения по защите

Открыть содержимое флешки в обход запуска вредоносного ярлыка

Как я говорил ранее, вирус распространяется только через usb-устройства путём запуска исполняемого кода из свойств ярлыка. Для того, чтобы открыть все спрятанные файлы можно использовать следующий скрипт:

Attrib "*" -s -h -a -r /s /d

Сохраняем его как run.bat и держим под рукой.

Отключить автозапуск USB устройств Чтобы отключить автозапуск USB-флешки и CD-диска, необходимо править реестр:

  1. «Пуск» - «Выполнить» и пишем «regedit»;
  2. Открываем путь HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies
  3. Заходим в раздел Explorer, а если его нет - создаём новый раздел и переименовываем в «Explorer»;
  4. В разделе «Explorer» создаём ключ NoDriveTypeAutoRun и вводим значение ключа 0x4 для отключения автозапуска всех съёмных устройств.

Когда приносят флешку с ярлыком в корне, нужно

  1. скопировать run.bat в корень флешки и запустить;
  2. после чего нам откроются многие невидимые файлы, в том числе и папка с пустым именем, куда вирус загрузил все файлы;
  3. открываем бесплатную утилиту от майкрософт Process Explorer и находим через CTRL+F ссылку на autorun, завершаем этот процесс;
  4. теперь осталось удалить с корня все файлы, кроме этой папки.
  5. заходим в папку и перемещаем её содержимое на уровень выше, т.е. в корень флешки.

Вот пока и всё, что у меня есть. Надеюсь скоро порадовать свежей информацией

Лечение вируса от читателя (Способ не работает. Ред. от 02.10.2015)

Спасибо Вам огромное! Думаю информация будет актуальна для посетителей!

Кстати, у нас этот вирус как-то постепенно и умер. Все перекопировали себе скрипт, что писал выше для проверки флешки, каждый раз их чистили и проверяли. А у людей, которые вечно приносити зараженные устройства - отказались их брать. И так победили эту заразу.

Первая группа будьте внимательны в будущем. Не разбрасывайте флешку направо и налево. На данный момент Ваш компьютер чист от вируса, поэтому чтение остального материала для Вас необязательно. Вторая группа — читаем дальше, если хотим удалить вирус, превративший содержимое флешки в ярлыки.

Удаление вируса будет состоять из двух направлений атаки:

  • Удаление вируса с компьютера.
  • Удаление вируса с флешки.

Один из этих вирусов активен, другой нет. Для начала разберемся с активным, потому что он постоянно будет втыкать палки в колеса. Можете почитать мою статью про то, как удалить вирусы , там довольно доступно объясняется процесс удаления вирусов, который можно и нужно применять в данном случае. Так же, Вы можете поискать вирус во вкладке Процессы окна Диспетчер задач. Процесс данного вируса носит довольно нечленораздельное название. В ней нет логики, это простая абракадабра. Можете узнать месторасположение данного файла. Дальше так же есть два способа действия:

  • Вы уверены в том, что это вирус. В таком случае остановите данный процесс и удалите вирус.
  • Вы не уверены в том, что это вирус. В таком случае остановите процесс.

Далее флешку, содержимое которого превратилось в одни ярлыки, необходимо почистить способом, который обсуждался выше. И еще раз прошу, не трогайте ни один ярлык, иначе вся операция пойдет насмарку. После этого выньте и заново подключите флешку. Если Вы не видите в ней ярлыков и всё вроде бы чётко, значит Вы сделали все правильно.

Удаляем вирус из автозагрузки

Но расслабляться рано. Те, кто просто остановил процесс, должны перейти в папку, где находится вирус и удалить его. Так же нужно зачистить автозагрузку. Как это нужно сделать можно узнать из той же статьи про то, как удалить вирус . Почистить автозагрузку компьютера необходимо и для первой, и для второй группы.

Проделав это, я обычно перезагружал компьютер. Потом снова перепроверял флешку — появятся ли ярлыки или нет. Рекомендую Вам поступать так же.

Почему такие вирусы редко замечают антивирусы?

Многие, увидев такие ярлыки, пытаются просканировать компьютер и флешку с помощью антивируса. Но, в основном, это безрезультатно. Почему? Потому что тело вируса, который превращает папки в ярлыки — это обычный bat-файл, который содержит в себе команды, которые пользователь может выполнить как в графическом интерфейсе, так и в консоли. А антивирус не должен мешать пользователю работать. И bat-вирусы как раз-таки и подпадают под это правило. Определить что внутри bat-файла — нежелательный код или безобидные команды — довольно тяжело. Убедиться в этом можно на собственном опыте, если попробовать создать обычный bat-вирус .

Если Вы пострадали от данного вируса и хотите, чтобы никакую больше флеш-карту нельзя было бы подключить к компьютеру, можно закрыть доступ для чтения с внешних носителей .

Файла на флешке стали ярлыками, что делать? Думаете, что информация полностью утеряна? Выход есть! Ответы на вопросы как восстановить все данные и удалить вирус ищите в этой статье.

Файлы и папки на флешке превратились в ярлыки, с чем связано

Почти у каждого пользователя компьютером возникала проблема, когда папки на флешке переставали отображаться, а вместо них появлялись ярлыки. Такой типа вируса может заразить ПК, телефон и любое другое партитивное устройство и папки перестанут отображаться.
Как быстро и правильно решить такую проблему? Подробное описание вы найдёте в этой статье.
Также Вы узнаете о типах вирусов и их особенностях.
Вирус после, которого файлы становятся ярлыками, бывает двух типов:
  • Все папки на съёмном носителе заменились ярлыками.
  • Вместо локальных дисков на ПК появились ярлыки.
Подробнее о каждом из типов.
  • Самым распространенным является вирус, что делает папки невидимыми, а вместо них отображаются ярлыки. Это адское сочетание Worm и Trojan. Многие пользователи, впервые столкнувшись с подобной проблемой дважды кликают курсором на ярлык папки в надежде их открыть, и запускают зловредные программы.
  • Второй вариант - это Trojan, он собирает все файлы на устройствах и переносит их в одну скрытую папку. После этого создает один общий ярлык, пользователь может получить доступ, к файлам только открыв его. И снова после двойного клика вирус начинает вредоносно распространяться по компьютеру, устанавливать шпионские программы и копировать персональные данные.

Как восстановить поврежденные файлы на флешке

Попав на компьютер пользователя или съёмный носитель, зловредный вирус создает папку RECYCLER и прописывается там. Папка скрыта, в ней вредоносный код – это своеобразная маскировка. Параллельно с этим все папки, которые были на флешке становиться невидимыми. Вирус создает ярлыки, которые его активируют.
После того, как флешку с вирусом подключают к компьютеру и кликают по ярлыку папки, вредоносная команда запускается. Если у вас на ПК нет антивируса, последствия могут быть печальными. Начиная от взломов паролей, до установки бэкдора.
Есть несколько простых вариантов, для удаления вируса:

  • При помощи Total Commander или другого файлового менеджера.
  • Используя загрузочный диск или загрузочную флешку.
  • При помощи командной строки.
Вариант первый - Total Commander.
  1. Скачайте, и установит файловый менеджер.
  2. Двойным кликом запустите программу.
  3. Найдите подключенную флешку (левый правый угол).
  4. В первые секунды, кажется, что все хорошо, но стоит присмотреться - папок не видно, а видны ярлыки.
  5. Зайдите в раздел конфигурация – настройки. Установите галочки напротив: показывать скрытые файлы и системные файлы. После этих манипуляций на флешке станут видны папки, которые были скрыты.
  6. Все ярлыки удалите.
  7. Теперь нужно вернуть прежний вид папок. Выделите нужную папку. Откройте вкладку «файл» - изменить атрибуты. Удалите отметки напротив: только для чтения, архивный, системный, скрытый, системный.
  8. Последняя немаловажная деталь. Удалите папку RECYCLER, в которой и спрятался вирус.
Вариант второй - при помощи командной строки.
  1. Зайдите меню «Пуск» и кликните на «Выполнить».
  2. В открывшейся строке введите «cmd» и подтвердите команду.
  3. Появится командная строка. В ней пропишите «cd /d X:\». Х – буква, под которой отображается ваша флешка.
  4. Следующий шаг пропишите – «attrib -s -h /d /s».
Выполнив все пункты в правильной последовательности, информация на вашей флешке будет восстановлена.

Третий вариант - используя загрузочный диск Live DVD или загрузочную флешку.
Это способ подойдет более опытным пользователям, так для его осуществления необходим загрузочный диск или флешка. А не у всех они есть под рукой.

Удаляем вирус, создающий ярлыки на флешке. Пошаговая инструкция


Избавиться от вируса, который поселился на вашей флешке можно при помощи антивируса. Воспользуйтесь, например бесплатной версией Dr.Web CureIt или Касперским.
Если установить программу нет возможности или вирусы обнаружить он не смог, воспользуйтесь ручным методом.
Другие способы отображения информации на зараженной флешке были описаны в предбудущем разделе.

  • Первым делом вирус нужно найти. Через проводник возвращаем папкам видимость. (Показать скрытые папки и файлы, показать защищенные и системные файлы).
  • Заходим на флешку. Открывает свойства любого ярлыка. Видим в поле «Объект» - RECYCLER. Это и есть вирус.
  • Находим на флешке папку с таким названием, удаляем ее целиком. В профилактических целях проверьте наличие вируса в системных файлах C:\windows, C:\windows\system32.
И в следующих папках: в Windows 7, 8, 10 - C:\users\имя_пользователя\appdata\roaming\. Если найдете похожие файлы с расширением «exe», значит это вирус и его необходимо удалить.

Бывают случаи, когда вирусы прячутся под расширением.bat/.cmd/.vbs. Если нашли что-то подобное на съемном носителе, просмотрите их код и удалите.
После проведения всех действий вирус будет полностью обезврежен.

Лечение флешки от вируса по видео инструкции

ТОП программ, которые сберегут Вашу флешку от вирусов
  • Shortcut Virus Remover 3.1. - самая известная программа для удаления вирусов. Программу не нужно устанавливать, скачайте и откройте архив. Кликните на программу, в открывшемся окне выберите проверку внешнего накопителя.
  • HFV Cleaner Pro - лучшая программа для борьбы с Worm и Trojan. На компьютер ее устанавливать не нужно. При первом открытии программа попросит ввести нужный вам пароль. Найдите флешку и удалите вирус. Восстановите видимость папок и остальных файлов.
  • Shortcut Virus Remover BAT – небольшой файл, который после одного клика поможет удалить вредоносную программу.
  • UsbFix - программа, которая проводит полную проверку и очистку флешки от вредоносных объектов. С ее помощью можно проверить персональный компьютер. Программа постоянно обновляется.

Современные антивирусы уже научились блокировать autorun.inf, который запускает вирус при открытии флешки.
По сети и от флешки к флешке довольно давно разгуливает новый тип вирусов одного семейства, попросту — очередные трояны. Заражение ими можно сразу обнаружить невооруженным взглядом без всяких антивирусов, главный признак — это все папки на флешке превратились в ярлыки .

Если на флешке очень важные файлы, первым делом Вы броситесь открывать все папки (ярлыки) по очереди, чтобы удостовериться в наличии файлов — вот это делать, совсем не стоит!

Проблема в том, что в этих ярлыках записано по две команды, первая — запуск и установка вируса в ПК, вторая — открытие Вашей драгоценной папки.

Чистить флешку от таких вирусов будем пошагово.

Шаг 1. Отобразить скрытые файлы и папки.

Если у Вас Windows XP, то проходим путь: «Пуск-Мой компьютер-Меню Сервис-Свойства папки-Вкладка вид»:

На вкладке «Вид» отыскиваем два параметра и выполняем:

  1. Скрывать защищенные системные файлы (рекомендуется) — снимаем галочку
  2. Показывать скрытые файлы и папки — устанавливаем переключатель.

Если у Вас Windows 7, нужно пройти немного другой путь: «Пуск-Панель Управления-Оформление и персонализация-Параментры папок-Вкладка Вид».


Вам нужны такие же параметры и их нужно включить аналогичным образом. Теперь Ваши папки на флешке будет видно, но они будут прозрачными.

Шаг 2. Очистка флешки от вирусов.

Зараженная флешка выглядит так, как показано на рисунке ниже:


Чтобы не удалять все файлы с флешки, можно посмотреть, что запускает любой из ярлыков (обычно они запускают один и тот же файл на той же флешке). Для этого нужно посмотреть свойства ярлыка, там Вы найдете двойной запуск — первый открывает Вашу папку, а второй — запускает вирус:

Нас интересует строка «Объект». Она довольно длинная, но в ней легко найти путь к вирусу, чаще всего это что-то типа 118920.exe в папке Recycle на самой флешке. В моем случае, строка двойного запуска выглядела так:

%windir%\system32\cmd.exe /c “start %cd%RECYCLER\6dc09d8d.exe &&%windir%\explorer.exe %cd%support

Вот тот самый путь: RECYCLER\6dc09d8d.exe — папка на флешке и вирус в ней.
Удаляем его вместе с папкой — теперь клик по ярлыку не опасен (если вы до этого не успели его запустить ).

Шаг 3. Восстановление прежнего вида папок.

1. Удаляем все ярлыки наших папок — они не нужны.
2. Папки у нас прозрачные — это значит, что вирус загрузчик пометил их системными и скрытыми. Просто так эти атрибуты Вам не отключить, поэтому нужно воспользоваться сбросом атрибутов через командную строку.

Для этого есть 2 пути:

Открываем «Пуск»-Пункт «Выполнить»-Вводим команду CMD-нажимаем ENTER. Откроется черное окно командной строки в ней нужно ввести такие команды:

  • cd /d f:\ нажать ENTER, где f:\ — это буква нашей флешки (может отличатся от примера)
  • attrib -s -h /d /s нажать ENTER — эта команда сбросит атрибуты и папки станут видимыми.

1. Создать текстовый файл на флешки.

2. Записать команду attrib -s -h /d /s в него, переименовать файл в 1.bat и запустить его.

3. В случае, когда у Вас не получается создать такой файл — Вы можете скачать мой: .

Если файлов много, то возможно потребуется время на выполнение команды, иногда до 10 минут!

4. После этого, можно вернутся к первому шагу и восстановить прежний вид папок, то есть, скрыть системные скрытые файлы.

Как проверить является ли Ваш ПК переносчиком вируса?

Если у Вас есть подозрение, что именно Ваш ПК разносит этот вирус по флешкам, можно просмотреть список процессов в диспетчере задач. Для этого нажмите CTRL+ALT+DEL и поищите процесс с названием похожим на FS..USB…, вместо точек — какие либо буквы или цифры.

Источник данного процесса не удаляется ни AviraAntivir, ни DrWeb CureIT, ни Kaspersky Removal Tool.

Я лично удалил его F-Secure пробной версией, а прячется он в виде драйвера и отыскать его можно с помощью утилиты Autoruns.

Если Вы удаляете вирус с флешки, а папки становятся ярлыками снова?

Скажу сразу, у меня такой ситуации не было. Как лечить точно — я не знаю. Выходов из ситуации я вижу три:

  • сносим Windows (1,5-2 часа, самый быстрый способ);
  • устанавливаем F-Security, Kaspersky, Dr.Web (пробные версии) по очереди и штудируем компьютер «полными проверками» пока не найдём вирус (часа 3-4 обычно, зависит от мощности ПК и количества файлов);
  • записываем DrWeb LiveCD на диск или флешку, загружаемся с него и штудируем компьютер.
  • F-Secure Online Scanner (попросит запустить модуль Java, нужно согласиться)

Можете скачать пробные версии этих антивирусов на 1 месяц, обновить им базы и проверить ПК с помощью них.

Вроде бы все, обращайтесь — всегда отвечу, иногда с задержкой.

«Могу добавить что есть и такие вирусы как Sality (Sector XX – где ХХ цифры вроде 05, 15, 11, 12 это модификации, кто их создаёт непонятно) портит исполняемые exe файлы… с такими вирусам изобрёл свой способ борьбы с использованием всё того же Dr.Web CureIt! имея на руках WinXPE система записанная на 700 метровую CD-R… подгрузка системы с диска и использование не памяти жесткого, а оперативной.

Работает отлично. Диск вставил загрузку с диска включил, сунул флешку с предварительно записаным “СВЕЖИМ” CureIt!… и вуаля.. прогнал весь жёсткий на наличие гадости. что самое интересное во время данного процесса как и с Life CD от Веба вирусы “спят” т.е. система не загружена, да и как то удобней с оперативной.

Привет читатели. Сегодня я хочу вам рассказать о том «недоразумении», когда у вас папки на флешке стали ярлыками . Это очень распространенный случай. Например, вы вставляете флешку в свой компьютер, стартует, например , вы открываете флешку и видите, что все папки, которые на ней располагались, превратились в ярлыки. Некоторые, не подозревая об этом, копируете на компьютер, а затем вытаскивая флешку, — не можете получить доступ к папке.

И вот у вас в папке — осталась важная информация, которую срочно необходимо спасти. Вы задаетесь вопросом, почему папки стали отображаться в виде ярлыков, а самое главное, как это все исправить? В данной статье мы и рассмотрим, как решить такую серьезную проблему.

Самое главное, когда вы столкнулись с подобной ситуацией, не стоит форматировать флешку, это только усугубит положение.

Первое. Вся ваша информация, которая была на флешке (флеш-носителе) так на ней и осталась, то есть, никуда не пропала. Причиной того, что все папки стали скрытыми, а вместо них появились ярлыки, стало появление на носителе.

Второе. Не стоит нажимать мышью по этим ярлыкам, так как вы можете запустить вредоносный код, который прописан в самом ярлыке. Когда вы вставляете флеш-накопитель в компьютер, у вас может быть такая ситуация:

Что необходимо делать в ситуации, когда папки стали ярлыками на накопителе.

Шаг № 1. Необходимо включить отображение скрытых файлов и папок. Например, можно открыть какой-нибудь файловый менеджер и сделать через него, а можно и в самой Windows. Для этого необходимо зайти в Мой компьютер и выполнить команду Сервис — Свойства папки — Вид , где затем установить указатель на пункт – Показывать скрытые папки и файлы .

Шаг № 2. Теперь нам необходимо проверить каждый ярлык, который находится на флеш-накопителе. Для этого заходим на флешку, нажимаем по ярлыку правой кнопкой мыши, из контекстного меню выбираем пункт Свойства , затем переходим на вкладку Ярлык и внимательно смотрим на поле Объект . Именно с этого поля происходит запуск вредоносного кода, нам необходимо определить, откуда именно и где он находится.

Как видно, в папке RECYCLER присутствует вирус, выше на рисунке показана данная папка, она в большинстве случаях также будет скрытой. Теперь нам необходимо удалить данную папку с флеш-накопителя.

Также можете проверить (для безопасности и достоверности) пути, по которым может находиться еще данный вирус:

Для Windows 7 – C:\\User\\Имя_пользователя\\appdata\\roamling\\

Для Windows XP – C:\\Documents and Settings\\Имя_пользователя\\Local Settings\\Application Data\\

Если вы откроете какой-то из этих путей (который подходит для вашей операционной системы), то вы сможете там обнаружить файл exe. Если он будет присутствовать, то это вирус, и это означает, что попал он туда с помощью автозапуска, поэтому я бы посоветовал вам .

Шаг № 3. На данном этапе нам необходимо вернуть обычный вид папкам, то есть сделать, чтобы они были не скрытыми, а видимыми. Естественно, это необходимо делать после того, как вы удалили вредоносный код и вредоносные файлы, при этом не забывайте еще удалить сами ярлыки, только не перепутайте с папками.

Вернуть папки в прежнее состояние можно несколькими способами:

Способ 1. Необходимо нажать Пуск — Выполнить и набрать в командной строке – cmd, после чего нажать на кнопку Ок или клавишу Enter . В появившемся окне вам необходимо ввести следующие команды:

Чтобы проверить, скройте системные папки (тот же принцип, как и настраивали — показать системные папки) и далее — заходите на свой флеш-накопитель. На нем должны быть показаны все ваши папки.

Способ 2. Вам необходимо сбросить атрибуты для папок, для этого — создаете на флешке текстовый документ и в нем пишете следующее.