Остановите повторное заражение
Отключите флешку и не вставляйте ее по очереди во все компьютеры. Вредоносная программа может находиться в каждой уже использованной системе и заново создавать ярлыки, скрывать папки или записывать исполняемые файлы. Для очистки выберите один доверенный компьютер с обновленной защитой и актуальными системными исправлениями.
Не открывайте с носителя файлы с расширениями EXE, SCR, COM, BAT, CMD, JS, VBS, LNK и неизвестные установщики, даже если их значок похож на папку или фотографию. В Проводнике включите показ расширений имен файлов. Ярлык с названием знакомой папки может запускать вредоносную команду, а затем открывать настоящие данные, чтобы пользователь ничего не заметил.
Отключите автозапуск съемных носителей в параметрах системы. Современная Windows обычно ограничивает автоматический запуск программ с USB, но устаревшая настройка или сторонняя оболочка может вести себя иначе. Открывайте накопитель через список дисков, не соглашайтесь на запуск предложенного приложения и не вводите пароль в неожиданном окне.
Если на флешке есть единственная копия важных фото или документов, не форматируйте ее сразу. По возможности переведите аппаратный переключатель защиты от записи, если он существует, либо создайте посекторный образ на чистом диске. При признаках аппаратной неисправности — отключениях, ошибках чтения, сильном нагреве — прекратите самостоятельные попытки.
Проверьте компьютер и носитель защитой
Обновите базы встроенного Microsoft Defender или другого установленного надежного антивируса. Запустите полную проверку системы, а при повторном появлении угрозы — автономное сканирование, которое перезагружает компьютер и проверяет его до обычного входа. Не устанавливайте одновременно несколько антивирусов с постоянной защитой: их драйверы могут конфликтовать.
После проверки компьютера подключите флешку, не открывая файлы, и запустите выборочное сканирование именно этого диска. Запишите названия найденных угроз и действия защиты. Карантин безопаснее мгновенного удаления, когда неизвестно, является ли объект зараженным документом или отдельным вредоносным файлом. После проверки можно удалить подтвержденные угрозы из карантина.
Если антивирус находит один и тот же файл после каждой очистки, проверьте запланированные задания, автозагрузку и другие компьютеры, где используется носитель. Не скачивайте случайные «USB Virus Remover» с рекламных страниц. Дополнительный сканер должен быть получен с официального сайта известного разработчика и запускаться только после основной проверки.
Не доверяйте одному чистому отчету, если на флешке продолжают появляться неизвестные ярлыки. Сравните время создания файлов, отключите носитель, перезагрузите систему и повторите сканирование. Если проблема возникает только после подключения к конкретному ПК, его нужно изолировать и очистить до дальнейшего использования общих дисков.
Верните скрытые фотографии и документы
После удаления активной угрозы откройте параметры Проводника и временно включите показ скрытых и системных элементов. В Total Commander аналогичная настройка показывает скрытые файлы, но сама программа не «лечит» носитель и не восстанавливает удаленное содержимое. Копируйте только известные фотографии, видео, документы и архивы на чистый диск для дополнительной проверки.
Вредоносная программа часто не удаляет папки, а назначает им атрибуты Hidden и System. В терминале можно использовать команду attrib только после точной проверки буквы флешки. Типовой вариант attrib -h -r -s /s /d X:\*.* снимает скрытый, только для чтения и системный атрибут рекурсивно, где X необходимо заменить на реальную букву носителя. Ошибка в букве затронет другой диск.
Не запускайте эту команду для всего системного раздела и не удаляйте вручную системные папки. После снятия атрибутов отсортируйте содержимое по типу и размеру. Открывайте сначала копии безопасных форматов, а оригинальную флешку держите неизменной до завершения проверки и резервного копирования.
Если файлы на флешке стали иероглифами и не открываются, причина может быть не вирусом, а повреждением файловой системы, памяти носителя или неверной кодировкой имен. Не переименовывайте тысячи объектов и не запускайте исправление диска до создания образа. Любая запись способна затереть данные, которые еще можно восстановить.
Когда фото действительно удалены, обычный файловый менеджер их не вернет. Используйте проверенную программу восстановления, сохраняя найденное только на другой физический диск. Глубокое сканирование ищет данные по сигнатурам, поэтому имена и структура папок могут потеряться. Чем меньше записей было на флешку после удаления, тем выше шанс результата.
Удалите вредоносные ярлыки и задания
Проверьте корень флешки после включения расширений. Удалите подтвержденные вредоносные ярлыки, сценарии и исполняемые файлы только после сохранения нужных данных и отчета антивируса. Не удаляйте папки DCIM и служебные каталоги камеры, если понимаете их назначение. Неизвестный файл сначала проверяйте, а не запускайте.
Посмотрите свойства ярлыка без открытия. В поле объекта вредоносный LNK часто содержит запуск командного интерпретатора, сценария или скрытого EXE, а затем путь к настоящей папке. Сам ярлык не является фотографией. Удаление LNK не возвращает скрытую папку, поэтому сначала снимите атрибуты и скопируйте данные.
На компьютере проверьте автозагрузку через штатный диспетчер и список установленных программ. Не удаляйте записи, назначение которых неизвестно. Для сложного заражения лучше использовать отчет защитного продукта и помощь специалиста. Ручное удаление случайных ключей реестра может нарушить вход в систему, сеть и запуск приложений.
Смените пароли с заведомо чистого устройства, если с зараженного компьютера входили в почту, банк или рабочие сервисы. Включите многофакторную защиту и завершите незнакомые сеансы. Не вводите новые пароли на подозрительной системе до ее очистки: вредоносная программа может перехватить их снова.
Отформатируйте и проверьте флешку заново
После создания двух проверенных копий важных файлов проще всего полностью отформатировать флешку штатным средством. Выберите файловую систему с учетом устройств, где носитель будет использоваться. Быстрое форматирование создает новую структуру файловой системы, но не является надежным стиранием секретных данных и не исправляет физически неисправную память.
Если объем отображается неправильно из-за поврежденной разметки, удаление разделов и создание нового тома может вернуть доступное пространство. Делайте это только после резервного копирования и убедитесь, что выбран именно съемный диск. Команды DiskPart безошибочно выполняют указанное действие и могут уничтожить другой накопитель при неверном номере.
После форматирования повторно просканируйте пустой носитель, безопасно извлеките его и подключите к чистому компьютеру. Затем скопируйте несколько тестовых файлов, извлеките и снова прочитайте их. Ошибки записи, исчезновение объектов или возврат в режим только чтения указывают на износ контроллера или памяти; такую флешку нельзя использовать для важных данных.
Возвращайте сохраненные документы после отдельного сканирования. Не копируйте назад старые ярлыки, неизвестные программы и скрытые сценарии. Храните важные фотографии как минимум в двух независимых местах. Флешка удобна для переноса, но не должна быть единственным архивом.
FAQ
Почему вирус появляется после форматирования флешки?
Вероятнее всего, заражен компьютер, к которому подключают чистый носитель, либо обратно копируется вредоносный файл из резервной папки. Очистите все используемые системы, проверьте копии и только затем снова форматируйте флешку.
Можно ли восстановить фотографии через Total Commander?
Он может показать файлы, которым вирус назначил скрытые атрибуты, и скопировать их. Удаленные данные Total Commander сам не восстанавливает. Для них нужен специализированный инструмент, а найденные файлы сохраняют на другой диск.
Безопасно ли использовать команду attrib?
Она безопасна при правильной букве диска и понимании атрибутов, но не удаляет вредоносную программу. Сначала очистите систему и носитель антивирусом. Не применяйте рекурсивную команду к системному диску и всегда проверяйте выбранный путь.
Нужно ли выбрасывать зараженную флешку?
Не обязательно, если она исправна, успешно форматируется и проходит повторную проверку. Но при ошибках записи, исчезновении данных, неверном объеме или самопроизвольном режиме только чтения носитель лучше заменить. Важные файлы храните с резервной копией.
