U盘杀毒与 autorun 免疫

U盘是电脑病毒最老的"顺风车"

你有没有遇到过这种怪事:把U盘插到某台电脑上,再插回自己电脑,杀毒软件就开始报警;或者U盘里莫名多出一堆快捷方式,文件全都被藏了起来。这不是U盘坏了,而是中了通过U盘传播的病毒。这类病毒玩的就是一个套路:利用 Windows 的自动运行机制 autorun,在你双击盘符的那一刻悄悄启动。搞懂原理再动手,杀毒和免疫是一套连贯动作。

病毒是怎么"搭车"的

autorun 本来是个正经功能:当年光盘时代,为了保证你插入光盘就能弹出安装界面,微软设计了自动运行机制,只要光盘根目录存在一个名为 autorun 的信息文件,系统就会读它、执行它。U盘流行之后,这个机制照搬了过来,病毒作者也眼前一亮——只要往U盘根目录塞入自己的自动运行配置文件,再配一个潜伏程序,任何人双击打开U盘,病毒就自动运行了。

典型的U盘病毒还会顺便干几件恶心事:把你的真实文件夹隐藏,创建一堆快捷方式指向病毒本体(你以为是自己的文件夹,双击却是执行病毒);碰上没打补丁的老系统,插入U盘什么都不用点就中招。后来微软在 Windows 7 之后默认禁止了U盘的自动运行,新系统里"双击中招"风险小了很多,但简单双击盘符打开、点击伪装快捷方式的习惯,至今仍在给病毒输送机会。

杀毒:先把现行病毒清掉

如果U盘已经中了招,先清理再免疫,顺序别颠倒。

1. 别急着双击打开U盘。打开"此电脑"后,用右键点击U盘盘符,从菜单里选"资源管理器"或"打开"方式打开,避开自动运行钩子。
2. 全盘杀毒:打开 Windows 自带的 Windows Defender(开始菜单搜索"安全"),选择"病毒和威胁防护",点"扫描选项",勾选"自定义扫描",选中U盘盘符执行完整扫描。第三方杀毒软件操作类似,注意一定要让杀毒软件处理"受感染文件",而不是直接删掉整个被感染的文档。
3. 恢复被隐藏的文件:很多病毒把文件夹属性改成隐藏并创建快捷方式冒充。用上一章命令行一节学过的技能,以管理员打开命令行,执行 attrib -h -s -r /s /d H:\* 即可批量取消U盘里所有文件的隐藏、系统、只读属性(把 H 换成你的盘符)。执行完,真实文件夹就都回来了,那些可疑的快捷方式删掉即可。

免疫:让autorun文件再多也无效

清理干净不等于万事大吉,只要U盘还会插来插去,就有再次被写入的风险。免疫的思路简单粗暴:病毒想往U盘根目录写一个自动运行配置文件,我们就提前占住这个文件名,而且让它删不掉、改不了。

在 Windows 文件系统里,有一个方法可以做到"占位":以管理员身份打开命令行,进入U盘根目录,依次执行下面几条——

1. md H:\autorun.inf —— 在根目录创建一个名为 autorun.inf 的目录(注意是文件夹而不是文件)。
2. 进入这个目录,再建一个不可删除的内部名称(利用系统保留设备名):md H:\autorun.inf\con\ —— "con" 是 Windows 的保留字,普通方式无法删除。
3. 把目录设为只读和系统属性:attrib +r +s +h H:\autorun.inf。

这样病毒再想往根目录写同名配置文件时会失败,已有目录里的保留名又无法用常规手段删除,免疫完成。市面上一些"U盘免疫工具"做的也是同样的事,理解原理后自己敲三行命令就行,没必要多装一个软件。

需要说明:如果哪天你要格式化U盘重新使用,免疫目录会被一并清掉,格式化后记得重新做一遍。

防中毒的日常习惯

杀毒是防守,免疫是工事

病毒会变,但传播入口就那几个。把"不双击、先扫描、做免疫"这几步变成肌肉记忆,U盘再借给别人也不用提心吊胆。如果你的U盘年事已高,清理病毒之外还该关心它身体行不行了——下一节教你看懂U盘的"体检报告"。