Endpoint Security

USB 文件变成快捷方式：安全扫描并阻止再次感染

意外快捷方式可能是警示，但图标本身不是诊断。应检查电脑、扫描介质，并阻断再次感染路径。

27-Sep-24 阅读约需 5 分钟

不要打开意外出现的 USB 快捷方式，试图寻找失踪文件。 使用已更新、可信的安全软件检查电脑和移动存储介质，审查检测结果，并为唯一数据保留恢复途径。仅删除可见快捷方式，可能留下受感染电脑再次创建它们。

熟悉文件夹出现快捷方式箭头、文件似乎消失，或删除后相同怪异项目又回来。恶意软件可利用移动介质和伪装快捷方式，但普通快捷方式及文件系统问题也存在。应先受控调查，而非下载一键“快捷方式病毒修复器”。

打开其他内容前应做什么

仅凭图标截图，不足以确定恶意软件家族。应保留安全产品检测报告，包括检测对象及处理动作，不要从文件夹外观猜测威胁。

Windows .lnk 文件指向其他对象。恶意情况下，它可能假装打开熟悉文件夹，实则启动程序或脚本。原始数据可能被隐藏、移动、损坏或缺失，须核查其状态。普通快捷方式不会仅因带箭头就自动变危险。

ESET 在真实恶意软件调查中，记录过滥用快捷方式传播至 USB 的情况。这说明可能的机制，并非对这块移动介质的诊断。不要从“文件外观不同”直接跳到解除全部隐藏或删除全部内容的通用命令。

连接如何运作

只删除可见快捷方式图标，可能完全未触及再次感染的来源。

保留检测报告

受管理设备应向 IT 提供症状，并遵循机构隔离流程。

不要运行不明清除脚本

安全软件可能更改或删除检测到的文件。应为唯一数据保留恢复途径。

普通 .lnk 快捷方式并不自动代表恶意。意外快捷方式和文件夹失踪需要调查，不能只凭图标诊断。

通过受支持流程更新安全产品及检测模块。电脑扫描检查主机；移动介质扫描检查所选 USB 介质。如果主机仍被入侵，只清理移动介质可能留下再次感染来源。

现行 ESET 产品提供电脑及移动介质扫描控制，但准确菜单和可用设备控制因产品及版本而异。应在受支持的自定义扫描或移动介质流程中，选择实际 USB 介质。连接多个驱动器时，要仔细核查所选目标。

扫描可按设置清理、隔离或删除检测对象。不要把扫描描述为保证只读的恢复操作。业务关键文件只有一份时，应先与 IT 协调保存和修复，再接受大范围清理。

结果	下一步
检测到威胁并已处理	审查处理动作及受影响路径。遵循产品或 IT 流程，再扫描并检查主机。
未检测到威胁，但问题持续	不要宣告介质安全。应在合资格支持协助下调查文件系统问题、主机及实际快捷方式目标。
文件在隔离区	考虑恢复前，审查检测及合法来源。不要仅为让快捷方式正常就恢复文件。
唯一文件仍失踪	在不向受影响介质写入更多数据的情况下评估恢复。安全清理与文件恢复是不同任务。
相同项目再次出现	重新检查每台接触该介质的电脑及流程。反复症状需要处理其来源。

避免使用搜索结果中的通配符删除命令、注册表修改配方和不明批处理文件。改变文件属性的命令不证明主机已清洁；删除全部快捷方式的命令，也可能删去合法项目。

受管理办公室需要可重复的共享 USB 介质、软件更新、最小权限账户和报告流程。个人用户也需要较小规模的相同基本纪律：打开陌生内容前先扫描，并保留独立备份。

最后应验证电脑已清洁、介质不再重现症状，且恢复文档能从可信位置打开，然后改变不安全的共享习惯。如果介质还报告存储错误，应将数据保存决策与恶意软件清理流程分开。

不是。.lnk 文件是快捷方式。取代熟悉文件夹的意外快捷方式需要调查，但仅凭图标不能证明恶意软件存在。

未必。受入侵主机或其他受影响设备，可能再次产生症状。应使用可信安全工具检查主机和介质。

不要对唯一副本运行不熟悉的大范围命令。改变属性或删除快捷方式，并不能证明恶意软件已清除。

会。按产品、设置及检测结果，可能清理、隔离或删除对象。应审查处理动作，并为重要数据保留恢复途径。

这只是一个结果，不证明介质及主机健康。应调查持续症状和存储错误，而不是反复打开可疑项目。

文件仍需恢复时，不应立即格式化。应先决定如何保存或恢复数据，完成主机调查，并遵循受支持修复流程。