Проверка USB-накопителей на вредоносное ПО¶
Проверка флешки на вирусы — совокупность процедур выявления и удаления вредоносного программного обеспечения с USB-накопителей (флешек), карт памяти и других съёмных носителей. Проверка выполняется штатными средствами операционной системы или сторонними антивирусными программами и направлена на обнаружение файлов-загрузчиков, троянов, шифровальщиков и иных угроз, которые могут распространяться через автозапуск и файловую систему накопителя.
¶Основные угрозы
Через USB-накопители распространяется значительная часть вредоносных программ. К наиболее распространённым угрозам относятся:
- Файлы-автозапуски — вредоносные исполняемые файлы, размещаемые в скрытой папке
autorun.infи запускаемые автоматически при подключении накопителя. - Трояны — программы, маскирующиеся под легитимные файлы (документы, установщики, медиафайлы), при запуске выполняющие вредоносные действия.
- Шифровальщики (раннеры) — вредоносные программы, шифрующие файлы на накопителе и других подключённых дисках с последующим требованием выкупа.
- Файлы-двойники — поддельные исполняемые файлы с иконками папок, имитирующие каталоги на накопителе.
- Загрузочные вредоносные записи — записи в секторе загрузки (MBR/VBR), позволяющие вредоносной программе запускаться при старте операционной системы.
¶Средства проверки в Windows
¶Защитник Windows
В Windows 10 и Windows 11 встроен антивирус «Защитник Windows» (Microsoft Defender), поддерживающий проверку съёмных носителей. Порядок действий:
- Открыть «Параметры» → «Конфиденциальность и безопасность» → «Безопасность Windows» → «Защита от вирусов и угроз».
- Выбрать «Параметры проверки» и указать подключённый накопитель.
- Запустить проверку и дождаться завершения.
Альтернативный вариант — контекстное меню: правый клик по диску в проводнике, пункт «Проверить с помощью Защитника Windows».
¶Средства командной строки
Утилита MpCmdRun.exe, входящая в состав Защитника Windows, позволяет запустить проверку из командной строки:
`` "%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Scan -ScanType 2 -File E:\ ``
где E: — буква проверяемого накопителя. Утилита chkdsk для проверки вирусов не предназначена, однако её запуск с флагом /f позволяет восстановить файловую систему после удаления заражённых объектов.
¶Сторонние антивирусы
Для проверки флешек используются как полнофункциональные антивирусные пакеты, так и специализированные утилиты:
| Программа | Тип | Особенности |
|---|---|---|
| Kaspersky Virus Removal Tool | Бесплатная утилита | Одноразовая проверка без постоянной установки |
| Dr.Web CureIt! | Бесплатная утилита | Требует ежедневного обновления баз |
| ESET Online Scanner | Онлайн-сканер | Проверка через браузер с загрузкой сканера |
| Malwarebytes | Антивирус/анти-malware | Дополняет основной антивирус |
Для проверки загрузочных секторов и глубокого анализа используются утилиты вроде Kaspersky TDSSKiller (для обнаружения руткитов) и USB Disk Security.
¶Проверка в Linux
В Linux проверка флешек выполняется утилитами clamav и clamdscan. Порядок действий:
`` sudo apt install clamav clamav-daemon sudo freshclam sudo clamscan -r --infected /media/user/USBDRIVE ``
Флаг -r обеспечивает рекурсивный обход каталогов, --infected выводит только обнаруженные угрозы. Для автоматического удаления заражённых файлов используется параметр --remove.
¶Ручная проверка
Помимо антивирусного сканирования, рекомендуется выполнить ряд ручных проверок:
- Показ скрытых файлов — в проводнике включить отображение скрытых файлов и папок («Вид» → «Показать» → «Скрытые элементы») и удалить подозрительные объекты, особенно
autorun.inf. - Проверка размера накопителя — аномальное уменьшение свободного места может указывать на скрытые вредоносные файлы.
- Проверка через другой компьютер — подключение накопителя к машине с другой операционной системой позволяет исключить ложные срабатывания.
- Проверка цифровой подписи — свойства файла → «Цифровые подписи»; отсутствие подписи у системных файлов на флешке является признаком подделки.
¶Профилактика заражения
Основные меры профилактики:
- Отключение автозапуска для съёмных носителей через редактор групповой политики (
gpedit.msc→ «Конфигурация компьютера» → «Административные шаблоны» → «Компоненты Windows» → «Автозапуск»). - Регулярное обновление антивирусных баз.
- Использование флешек с аппаратной защитой от записи (переключатель Lock).
- Копирование файлов на накопитель только после проверки источника.
- Отключение подключения накопителей к компьютерам в публичных местах без необходимости.
Проверка флешки на вирусы является стандартной процедурой информационной безопасности, рекомендуемой к выполнению перед каждым подключением накопителя к новому компьютеру.
Источники: документация Microsoft по Защитнику Windows; руководство ClamAV; материалы Kaspersky Lab по USB-угрозам; справка Dr.Web по утилите CureIt.