Приветствую, вас дорогие читатели. Уверен, что большинство пользователей у которых работа или хобби связанно с компьютером, встречались с одним очень вредным вирусом, который вместо файлов на флешке создавал ярлыки. Ну, а сами файлы, не удалялись, что очень радует, а просто становились невидимыми, доступ к которым можно было получить только . Кстати, о том как вернуть флешку к прежнему состоянию я описал .
Обычно ко мне приходили пользователи с флешкой и просили просто . Но, недавно мне на глаза попался компьютер, в котором засел именно этот вирус — Microsoft Excel.WsF и при подключение любого флеш-накопителя он скрывал на нем все возможные файлы. Если честно, я первый раз встретил такой вирус непосредственно, на самом компьютере.
При подключение флешки сразу было понятно, что ПК заражен вредоносной программой, потому как через мгновение на любом подключенном устройстве все документы и папки превращались в ярлыки. Вынув flash-накопитель, я начал . Она нашла несколько зараженных файлов, но это все было не то (в основном bat-файлы ярлыков с рекламой для различных браузеров ), конечно, я их удалил и запустил антивирус заново с полной проверкой. Но, на мое удивление, Cureit больше ничего не нашёл и оповестил, что угроз на компьютере не найдено, хотя проблема не решилась и вирус (Microsoft Excel.WsF ) по прежнему скрывал файлы.
Следующим шагом, была чистка папки с временными файлами, как в ручную так и утилитой CСleaner. Рекомендую, ознакомиться с руководством того: с помощью разных утилит. А так же, с его продолжением, где подробно описано, что можно сделать если . Почистив все возможные папки от TEMP-файлов, вирус (Microsoft Excel.WsF ) продолжал портит файлы на флешка не обращая внимание на меня и на все мои действия.
Как удалить вирус, который превращает файлы в ярлыки, этот вопрос никак не выходил у меня з головы. Но, зайдя в автозагрузку компьютера я понял, что все, на самом деле, очень просто.
Удаляем вирус превращающий файлы в ярлыки
Итак, удалив все временные файлы в моей любимой утилите ССleaner, я перешел на вкладку «». Как оказалось в списке autoruna было очень много различных программ, начиная от обновлений Google приложений и заканчивая браузером Amigo и MailUpdate . В общем, из всего этого списка я нашел один очень подозрительный процесс под названием «wscript.exe ». Удивило то, что в описание программы производителя указан Microsoft Office. Удивило меня это тем, что раньше такого процесса связанного с Office я не встречал. Но посмотрев на расположение файла стало понятно, что это и есть та команда запускающая вирусный скрип «Microsoft Excel.WsF », который превращает файлы в ярлыки.
Что же нам нужно сделать, для удаления этого вируса. Сначала открываем « » и находим процесс под название wscript.exe, виделив его нажимаем на кнопку «Завершить процесс».
Дальше, запускаем CCleaner и . И смотрим путь к нашему файлу. У меня он был таким: С:\Documents & Settings\User\Local Settings\Application Data\Microsoft Office\\Microsoft Excel.WsF. Для Windows 7 и 8 такой: C:\Users\UserName\AppData\Roaming\Microsoft Office\\Microsoft Excel.WsF.
Зайдя в эту папку удаляем файлик, который был указан в пути, например в моем случае это: Microsoft Excel.WsF. Не забудьте, открыть доступ к отображению скрытых системных файлов, иначе вы его не увидите.
Так, первый шаг по удалению вируса превращающего файлы в ярлыки, сделан. Теперь, возвращаемся обратно к автозагрузке, где нажав на вирус правой кнопкой мыши выбираем «Открыть в Regedit... ». В следствие чего, перед нами с выделением нужной для нас строки. Здесь, также просто удаляем все записи в которых встречаются слова Microsoft Excel.WsF. Это действие повторяем до тех пор, пока в реестр не будет очищен от всех записей где упоминается название вирусного файла. У меня нашло его в двух местах:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run;
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run;
Опять вернувшись обратно к автозагрузке ССleanera, отмечаем пункт с процессом wscript.exe, и нажав на кнопку «Удалить » убираем полностью его с автозагрузки.
Теперь, закрыв утилиту идем к папке с временными файлами пользователя и полностью удаляем все её содержимое.
Windows7 и Windows 8 : C:\Users\Игорь\AppData\Local\Temp
Windows XP: С:\Documents & Settings\User\Local Settings\Temp
Ну и наконец, не забудьте очистить корзину от тех файлов, которые мы удалили. После этого обязательно перезагрузите ПК, и проверяйте результат.
При следующем подключение флешки, все файлы должны остаться на своих местах. По крайней мере, мне это помогло и пока все флешки опредиляются и работают без каких либо проблем. Но, если появятся вопросы или Вам нужна будет помощь, как всегда оставляйте коментарии и я постараюсь Вам помочь. В который раз, напомню Вам о подписке на сайт , которая позволит вам иметь под рукой бесплатные руковоства по востановлению рабочего состояния рабочего или домашнего компьютера.
Привет друзья! Ходил я вчера ремонтировать один компьютер, попросили меня прийти и “настроить браузер” :), интересная проблема в людей подумал я, как этот браузер еще можно настроить, ну да ладно, пошел. В процессе настройки компьютера мне понадобилось подключить свою флешку, я ее без проблем подключил и открыл. И тут смотрю, что все мои папки превратились в ярлыки, с этим вирусом я встречался уже не раз, и знаю что это за гадость.
Сегодня напишу что делать если у вас на флешке или жестком диске все папки в виде ярлыков и не открываются . Расскажу как удалить этот вирус, и вернуть папки, то есть спасти информацию. Просто этот вирус настолько проблемный, что даже после того, как удалить его антивирусом, то папки которые были в виде ярлыков пропадут. Точнее они не пропадут, а не будут отображаться. Память занимать они будут, но видеть их вы не будете.
Значит принес я флешку к себе домой, сразу подключать к компьютеру не стал, мало ли что. На компьютере у меня установлен ESET NOD32 Smart Security, всегда с обновленными антивирусными базами. Этот вирус не такой страшный как вирус смс, но все же попотеть придется.
Все папки в виде ярлыков и не открываться. Что делать?
Без паники, делаем так:
1. На всякий случай отключаем автозапуск USB устройств (флешек), как это сделать читайте . Что бы после подключения флешки к компьютеру вирус не пробрался на компьютер.
2. Подсоединяем флешку к компьютеру, не открываем ее, а сразу сканируем антивирусом. Если на компьютере нет установленного антивируса, то зараженную флешку подключать не советую.
Я когда просканировал свою, то ESET NOD32 Smart Security обнаружил вирус e5188982.exe – Win32/Dorkbot , находился он в “K:\RECYCLER\e5188982.exe – Win32/Dorkbot. “. Где “К “, это буква моей флешки. Как видите, вирус прячется в папку “RECYCLER “.
Все, вирус уничтожен, теперь можно зайти на флешку и посмотреть, что сохранилось, а что нет. У меня были только файлы, которые лежали в корне флешки, папок не было. Хотя память они занимали, значит они никуда не пропали, просто мы их не видим. Но ничего страшного, сейчас исправим.
3. Нам нужно создать в корне флешки файл, после чего запустить его. Сейчас подробно распишу этот процесс, читайте внимательно.
Заходим на нашу проблемную флешку, нажимаем правой кнопкой на пустую область, и выбираем “Создать” , затем “Текстовый документ” .
У нас появится вот такой документ:
Открываем его, и вставляем в него вот такой текст:
attrib -S -H /D /S
Затем нажимаем закрыть, и сохраняем изменения.
Теперь нам нужно переименовать этот файл. В принципе имя можно написать любое, но главное, это сменить расширение на .bat . Если у вас отключено отображение расширений, то включите его, как это сделать, я писал в статье “ “. Давайте назовем наш файл “123 .bat” . После того как вы его переименуете, он должен вы глядеть примерно вот так:
Все что нам теперь нужно, это просто запустить его. Просто два раза нажимаем на него мышкой.
Появится вот такое окно:
Оно пропадет само, после того как закончит свою работу. После такой процедуры у меня появились все мои папки и файлы в них. Так что способ рабочий. Проверенно!
Дав примечания:
Атрибуты сбросятся только на носителе, где мы запускали файл “123 .bat “.
После этих процедур на флешке скорее всего появится папка “RECYCLER “, это папка создана вирусом, можно нещадно удалить ее.
Вроде бы все друзья! Теперь вы знаете что делать, если у вас все файлы на флешке в виде ярлыков и не открываются. Удачи!
Ещё на сайте:
Вирус. Все папки в виде ярлыков. обновлено: Январь 12, 2015 автором: admin
Вирусы бывают разные и совершают они различные действия. Сегодня в статье речь о таких вирусах, которые скрывают настоящие папки (чаще всего недавно используемые) и заменяют их на свой ярлык с таким же названием, который ссылается на скрытую папку в которой находится сам вирус. Вот такая вот чехарда, в результате которой Вы открываете флешку (а чаще всего заражаются именно они) и видите вроде бы все свои папки. Открываете и заражаете свой компьютер кучей вирусов, и неизвестно чем они там заниматься будут...
Для начала разберемся с тем, как вылечить такой вирус. Если у Вас нет антивируса, то можете скачать бесплатный антивирус от или от лаборатории , а затем проверить ими компьютер или флешку. Обычно после них всё встаёт на места и вирусы удаляются.
На заметку:
2) Можете щелкнуть ПКМ по созданному вирусному ярлыку и выбрать в меню Свойства . Там будет указан путь, куда перенаправляет этот ярлык. Обычно это программа (с расширением exe ) в папке RECYCLER . Затем можете удалить как сам файл, на который ссылается ярлык, так и саму эту папку, содержащую вирус. Этим Вы поможет антивирусу или избавитесь без антивируса.
3) Если увидите файл autorun.inf , то тоже его удалите. ( ?)
4) Введите следующие строки в адресную строку проводника.
Для Windows XP : %USERPROFILE%\Local Settings\Application Data\
Для Windows 7 и 8 : %USERPROFILE%\appdata\roaming\
Если найдёте в этой папке какой-нибудь файл с расширением exe , то смело удаляйте.
После удаления вирусов, нужные нам папки остаются, но они невидимые (скрытые). Место же они занимают. Чаще всего у них ещё стоит атрибут Скрытый
, который неактивен (галочку нельзя убрать) и серый.
Чтобы убрать атрибут можно воспользоваться несколькими способами:
1)
Скачать с официального сайта . Запустить его. Проверить по пути “Конфигурация” –> “Настройка” –> “Содержимое панелей”. Здесь должна стоять галочка в пункте “Показывать скрытые/системные файлы (только для опытных!)”
Если нету, то ставим и жмем Применить и Ок.
Далее открываем нашу флешку через Тотал Коммандер и видим наши папки скрытые. Выделяем их с помощью нажатой клавиши Ctrl
и нажатием левой кнопки мыши на каждой папке (или просто ПКМ по ним щёлкаем). Затем идём в “Файлы” –> “Изменить атрибуты”. В этом окошке снимаем все атрибуты. В итоге должно быть пусто:
Жмем Ок и наслаждаемся результатом.
2)
Открываем Блокнот (Пуск -> Все программы -> Стандартные -> Блокнот) и вставляем в него следующие строки:
attrib -s -h -r -a /s /d
Затем верхнее меню "Файл" -> "Сохранить как..." и называем любым именем, но чтобы расширение (Тип файла) было bat , а местоположение указываем корень (начало) нашей флешки или диска зараженного.
Теперь запускаем этот файл и всё должно стать видимым.
Тут стоит знать то, что если заражен системный диск, то все системные папки станут видимыми тоже, что не совсем хорошо.
Кстати, если боитесь, то можете скачать с моего сайта файл ниже, закинуть в корень и запустить
3)
Нажимаем Пуск -> Выполнить (или сочетание клавиш Win
+R
) и вводим в окошко:
attrib -h -s /d /s "Путь к папке или файлу"
Например у Вас заражена флешка и в ней папка vindavoz скрытая, тогда будет так:
Обратите внимание на знак обратного слеша. Он должен быть.
Жмем Ок и радуемся что папки стали видимыми.
4)
Точно так же, как и во 2 пункте, создаем файл со следующим содержимым:
:lable
cls
set /p disk_flash="Vvedite bukvu vashei fleshki: "
cd /D %disk_flash%:
if %errorlevel%==1 goto lable
cls
cd /D %disk_flash%:
del *.lnk /q /f
attrib -s -h -r autorun.*
del autorun.* /F
attrib -h -r -s -a /D /S
rd RECYCLER /q /s
explorer.exe %disk_flash%:
У кого возникнут вопросы - пишите в комментариях.
Современные антивирусы уже научились блокировать autorun.inf, который запускает вирус при открытии флешки.
По сети и от флешки к флешке довольно давно разгуливает новый тип вирусов одного семейства, попросту — очередные трояны. Заражение ими можно сразу обнаружить невооруженным взглядом без всяких антивирусов, главный признак — это все папки на флешке превратились в ярлыки
.
Если на флешке очень важные файлы, первым делом Вы броситесь открывать все папки (ярлыки) по очереди, чтобы удостовериться в наличии файлов — вот это делать, совсем не стоит!
Проблема в том, что в этих ярлыках записано по две команды, первая — запуск и установка вируса в ПК, вторая — открытие Вашей драгоценной папки.
Чистить флешку от таких вирусов будем пошагово.
Шаг 1. Отобразить скрытые файлы и папки.
Если у Вас Windows XP, то проходим путь: «Пуск-Мой компьютер-Меню Сервис-Свойства папки-Вкладка вид»:
На вкладке «Вид» отыскиваем два параметра и выполняем:
- Скрывать защищенные системные файлы (рекомендуется) — снимаем галочку
- Показывать скрытые файлы и папки — устанавливаем переключатель.
Если у Вас Windows 7, нужно пройти немного другой путь: «Пуск-Панель Управления-Оформление и персонализация-Параментры папок-Вкладка Вид».
Вам нужны такие же параметры и их нужно включить аналогичным образом. Теперь Ваши папки на флешке будет видно, но они будут прозрачными.
Шаг 2. Очистка флешки от вирусов.
Зараженная флешка выглядит так, как показано на рисунке ниже:
Чтобы не удалять все файлы с флешки, можно посмотреть, что запускает любой из ярлыков (обычно они запускают один и тот же файл на той же флешке). Для этого нужно посмотреть свойства ярлыка, там Вы найдете двойной запуск — первый открывает Вашу папку, а второй — запускает вирус:
Нас интересует строка «Объект». Она довольно длинная, но в ней легко найти путь к вирусу, чаще всего это что-то типа 118920.exe в папке Recycle на самой флешке. В моем случае, строка двойного запуска выглядела так:
%windir%\system32\cmd.exe /c “start %cd%RECYCLER\6dc09d8d.exe &&%windir%\explorer.exe %cd%support
Вот тот самый путь: RECYCLER\6dc09d8d.exe
— папка на флешке и вирус в ней.
Удаляем его вместе с папкой — теперь клик по ярлыку не опасен (если вы до этого не успели его запустить
).
Шаг 3. Восстановление прежнего вида папок.
1. Удаляем все ярлыки наших папок — они не нужны.
2. Папки у нас прозрачные — это значит, что вирус загрузчик пометил их системными и скрытыми. Просто так эти атрибуты Вам не отключить, поэтому нужно воспользоваться сбросом атрибутов через командную строку.
Для этого есть 2 пути:
Открываем «Пуск»-Пункт «Выполнить»-Вводим команду CMD-нажимаем ENTER. Откроется черное окно командной строки в ней нужно ввести такие команды:
- cd /d f:\ нажать ENTER, где f:\ — это буква нашей флешки (может отличатся от примера)
- attrib -s -h /d /s нажать ENTER — эта команда сбросит атрибуты и папки станут видимыми.
1. Создать текстовый файл на флешки.
2. Записать команду attrib -s -h /d /s в него, переименовать файл в 1.bat и запустить его.
3. В случае, когда у Вас не получается создать такой файл — Вы можете скачать мой: .
Если файлов много, то возможно потребуется время на выполнение команды, иногда до 10 минут!
4. После этого, можно вернутся к первому шагу и восстановить прежний вид папок, то есть, скрыть системные скрытые файлы.
Как проверить является ли Ваш ПК переносчиком вируса?
Если у Вас есть подозрение, что именно Ваш ПК разносит этот вирус по флешкам, можно просмотреть список процессов в диспетчере задач. Для этого нажмите CTRL+ALT+DEL и поищите процесс с названием похожим на FS..USB…, вместо точек — какие либо буквы или цифры.
Источник данного процесса не удаляется ни AviraAntivir, ни DrWeb CureIT, ни Kaspersky Removal Tool.
Я лично удалил его F-Secure пробной версией, а прячется он в виде драйвера и отыскать его можно с помощью утилиты Autoruns.
Если Вы удаляете вирус с флешки, а папки становятся ярлыками снова?
Скажу сразу, у меня такой ситуации не было. Как лечить точно — я не знаю. Выходов из ситуации я вижу три:
- сносим Windows (1,5-2 часа, самый быстрый способ);
- устанавливаем F-Security, Kaspersky, Dr.Web (пробные версии) по очереди и штудируем компьютер «полными проверками» пока не найдём вирус (часа 3-4 обычно, зависит от мощности ПК и количества файлов);
- записываем DrWeb LiveCD на диск или флешку, загружаемся с него и штудируем компьютер.
- F-Secure Online Scanner (попросит запустить модуль Java, нужно согласиться)
Можете скачать пробные версии этих антивирусов на 1 месяц, обновить им базы и проверить ПК с помощью них.
Вроде бы все, обращайтесь — всегда отвечу, иногда с задержкой.
«Могу добавить что есть и такие вирусы как Sality (Sector XX – где ХХ цифры вроде 05, 15, 11, 12 это модификации, кто их создаёт непонятно) портит исполняемые exe файлы… с такими вирусам изобрёл свой способ борьбы с использованием всё того же Dr.Web CureIt! имея на руках WinXPE система записанная на 700 метровую CD-R… подгрузка системы с диска и использование не памяти жесткого, а оперативной.
Работает отлично. Диск вставил загрузку с диска включил, сунул флешку с предварительно записаным “СВЕЖИМ” CureIt!… и вуаля.. прогнал весь жёсткий на наличие гадости. что самое интересное во время данного процесса как и с Life CD от Веба вирусы “спят” т.е. система не загружена, да и как то удобней с оперативной.
Если все папки на флешке стали ярлыками – не стоит отчаиваться! Проблема имеет решение, причем довольно-таки простое.
Для начала, запомните следующую информацию:
- Папки на флешке скорее всего никуда не пропадали, 99% что это вирус, а если быть точным – троян Backdoor.win32.ruskill . Он замаскировался под папки, находящиеся на флешке – создал вместо них свои ярлыки (через сопутствующего вируса-червя). Сами папки никуда не делись – они стали скрытыми.
- Не пытайтесь запустить появившиеся ярлыки-папки. Нет, не так. НИ В КОЕМ СЛУЧАЕ не запускайте эти ярлыки. Принцип действия вируса после запуска ярлыков расписывать не буду, скажу лишь: ничего хорошего не ждите. Если интересно – можете почитать что он способен натворить: http://www.securitylab.ru/virus/405757.php
- Форматировать флешку не надо. Все Ваши файлы всё ещё находятся там (см. п.1). Если, конечно, ничего важного там нет – можно и форматнуть.
Теперь, когда Вы ознакомились с основной информацией по данной проблеме, давайте постараемся её решить.
Здесь возможно несколько способов решения этой проблемы с флешкой – с помощью сторонних программ и вручную (его мы и рассмотрим).
Давайте по порядку:
1. Если антивирус всё ещё ничего не обнаружил на флешке – запустите его, пусть проверит и удалит вирус.
2. Заходим в Мой компьютер, на верхней панели находим вкладку Сервис (если стоит Windows 7, то нажимаем F10 – панель появится), далее заходим в Свойства папки, во вкладку Вид – снимаем галочку с пункта «Скрывать защищенные системные файлы» и ставим галочку на «Показывать скрытые файлы и папки».
3. Теперь на Вашей флешке должны появиться папки, которые скрыл злой вирус 🙂 Создаем новые папки с похожими на скрытые названиями и перемещаем всю информацию в них (вырезать-вставить, легко же!)
4. Удаляем пустые скрытые папки, удаляем ярлыки, созданные вирусом, удаляем папку RECYCLER (если антивир её всё ещё не удалил).
5. Собственно, всё! Проблему с папками, ставшими ярлыками на флешке мы решили.
ЗЫ: Можно проверить «следы» вируса, которые он мог оставить на компьютере. Для этого заходим в
C:\users\Имя_пользователя\appdata\roaming\ (Windows 7)
C:\Documents and Settings\ Имя_пользователя \Local Settings\Application Data\ (Windows XP)
В этой папке ищите файлы со странным названием, типа «9fpoi8j5.exe» (может быть любой набор букв-цифр) – это и будет исполняемый файл вируса, удалите его.
Затем лезем в реестр (пуск-выполнить или win+R, вводим regedit), заходим в следующий каталог: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, где ищем название вируса по вышеописанному принципу и удаляем! Вот и всё.