Безопасность
Опасные расширения файлов: что нельзя открывать без проверки
Список опасных расширений, таблица риска и проверка вложения перед открытием — без вирусов и потери данных.
Что такое LNK-файл и почему Windows не показывает его расширение
LNK (от англ. link — «ссылка») — это бинарный формат Windows для ярлыков: файл с расширением .lnk не содержит самого документа или программы, а хранит ссылку на реальный объект в другом месте файловой системы. Формат появился ещё в Windows 95 и с тех пор почти не менялся: каждый ярлык на рабочем столе, в меню «Пуск» и в панели быстрого доступа — это именно LNK-файл с уникальным GUID-идентификатором shell link в заголовке.
Windows по умолчанию скрывает расширение .lnk для абсолютно всех ярлыков, не только для них — система вообще прячет расширения для «известных» типов файлов, но для ярлыков это особенно заметно: вместо «Документ.lnk» пользователь видит просто «Документ» со значком стрелки в углу иконки. Из-за этого небольшого изменения в имени (или вовсе без него, если имя файла подобрано похожим на оригинал) вредоносный LNK легко выдать за обычный PDF, Word-документ или папку — визуально подделку от настоящего ярлыка в проводнике почти не отличить. Карта опасных расширений файлов, которую стоит держать под рукой при работе с незнакомыми вложениями, подробно разбирает, какие ещё форматы маскируются под безобидные — см. карту опасных расширений файлов.
Что скрыто внутри ярлыка: целевой путь, аргументы командной строки, значок
Внутри LNK-файла хранится несколько структурных блоков: заголовок с флагами и GUID, список идентификаторов пути к целевому объекту (LinkTargetIDList), блок LinkInfo с локальным или сетевым путём и, при необходимости, дополнительные данные (EXTRA_DATA) — например, строка рабочей папки, аргументы командной строки и путь к иконке. Пользователю видно не содержимое этих блоков, а только итоговый значок и название — то, что реально запустится при двойном клике, определяется полем «Объект» (Target), которое можно посмотреть в свойствах ярлыка.
Целевой объект (Target) — не всегда то, что показывает значок
Иконку ярлыка можно назначить любую — вплоть до значка офисного документа или PDF, вне зависимости от того, что на самом деле прописано в поле «Объект». Это ключевая уязвимость формата с точки зрения пользователя: внешний вид ярлыка и его реальное поведение — две независимые вещи, и подмена значка не требует никаких специальных инструментов, это штатная функция Windows.
Аргументы командной строки — главный канал атаки
Поле «Объект» в свойствах ярлыка может указывать не на файл, а на системный интерпретатор (например, powershell.exe) с набором аргументов командной строки, которые выполнятся сразу при запуске. Именно аргументы командной строки — тот механизм, через который вредоносный LNK чаще всего доставляет полезную нагрузку: исследователи «Хакера» отмечают, что в большинстве образцов вредоносных LNK-файлов, проанализированных Palo Alto Networks, ключевую роль играют именно поля LINKTARGET_IDLIST, RELATIVE_PATH и COMMAND_LINE_ARGUMENTS — по данным исследования, которое приводит xakep.ru, эти три элемента структуры LNK встречаются в подавляющем большинстве проанализированных вредоносных образцов.
Почему вредоносный LNK опаснее, чем кажется
Главная причина, по которой LNK остаётся популярным вектором атаки — ярлык воспринимается пользователем как безопасный объект, который «просто открывает» что-то, а не запускает произвольный код. По данным Palo Alto Networks, на которые ссылается «Хакер», число вредоносных LNK-файлов выросло с 21 098 образцов в 2023 году до 68 392 в 2024-м — более чем втрое за год. Те же цифры независимо подтверждает и аналитика 1275.ru, которая со ссылкой на тот же источник приводит детализацию: среди целевых объектов вредоносных LNK преобладает запуск PowerShell (около 59,4% образцов) и cmd.exe (около 25,7%), а примерно 18% полезной нагрузки дополнительно маскируется base64-обфускацией.
Среди системных интерпретаторов, которые злоумышленники используют как «объект» вредоносного ярлыка, чаще всего встречаются PowerShell, cmd.exe, mshta.exe, forfiles.exe и conhost.exe — все эти программы штатно присутствуют в Windows, поэтому их запуск сам по себе не вызывает подозрений ни у пользователя, ни у многих антивирусов, которые ориентируются на сигнатуры известных вредоносных файлов, а не на поведение системных утилит.
!
Важно
Опасен не формат LNK как таковой, а то, что он позволяет скрытно указать любую команду в поле «Объект» — включая запуск интерпретаторов с правами текущего пользователя, без установки отдельного вредоносного исполняемого файла.
Какие уязвимости и приёмы использовали злоумышленники
За историю формата в нём находили не только «штатные» способы запуска команд через аргументы, но и отдельные уязвимости обработки LNK самой Windows. По данным технического разбора на Habr, среди значимых случаев — CVE-2010-2568 (уязвимость, которую использовал червь Stuxnet для автозапуска с внешних носителей), CVE-2017-8464 (известная как «LNK RCE», удалённое выполнение кода при обработке иконки ярлыка) и более новая CVE-2024-38217, получившая название «LNK Stomping» — техника, позволяющая обойти метку Mark of the Web (MOTW), которую Windows присваивает файлам, скачанным из интернета, для предупреждения пользователя перед запуском.
Также упоминаются CVE-2025-24054 и CVE-2025-50154 — уязвимости, связанные с утечкой NTLM-хэша при обработке значка LNK-файла по сети (SMB): при определённых условиях сама попытка Windows отобразить иконку ярлыка, ссылающегося на удалённый сетевой путь, может привести к отправке хэша аутентификации на сторонний сервер без каких-либо действий пользователя, кроме просмотра файла в проводнике. Подробности эксплуатации здесь намеренно не раскрываются — важно само понимание, что проблема не ограничивается только «социальной инженерией» в духе поддельных значков, но и затрагивает обработку файла на уровне системы.
!
Mark of the Web можно обойти
Техника LNK Stomping (CVE-2024-38217) позволяет сформировать LNK-файл так, что система не проставит ему метку «загружено из интернета» — а значит, не покажет предупреждение системы безопасности при запуске, которое обычно появляется у файлов, скачанных из сети или пришедших по почте.
Свежий пример 2026 года: червь, который подменяет файлы на флешке ярлыками
В середине 2026 года Microsoft Threat Intelligence и Defender Experts задокументировали новую кампанию — двухкомпонентного «червя», активного с февраля 2026 года и распространяющегося через LNK-файлы на съёмных носителях. По данным CNews, механика атаки устроена так: при подключении заражённой флешки вредонос прячет реальные документы пользователя (.doc, .xlsx, .pdf) и создаёт вместо них вредоносные LNK-ярлыки с точно таким же именем и похожей иконкой. Пользователь видит привычный список файлов, двойным кликом открывает «свой документ» — и вместо него запускается вредоносный код, а настоящий файл остаётся скрытым где-то на том же носителе.
Конечная цель этой кампании, по данным того же источника, — поиск данных криптовалютных кошельков, в первую очередь сид-фраз (seed-фраз), которые дают полный доступ к средствам жертвы. Такая схема особенно опасна тем, что не требует от пользователя никаких «подозрительных» действий — только открыть файл, который выглядит как собственный документ на собственной флешке.
⚠
Если на флешке вместо файлов — только ярлыки
Это один из самых явных признаков заражения именно по описанной схеме. Не открывайте такие LNK-файлы двойным кликом: сначала проверьте носитель антивирусом с другого, заведомо чистого компьютера.
Пять признаков, что перед вами не обычный ярлык
Отличить подозрительный LNK от настоящего ярлыка можно без вскрытия бинарного содержимого файла — достаточно посмотреть на несколько внешних признаков через стандартные «Свойства» Windows (правый клик по файлу → «Свойства» → вкладка «Ярлык»).
| Признак | Безопасный ярлык | Повод насторожиться |
|---|---|---|
| Поле «Объект» (Target) | Короткий путь к знакомой программе или файлу, например C:\Program Files\... | Длинная строка со ссылкой на powershell.exe, cmd.exe, mshta.exe или с непонятными аргументами после пути |
| Рабочая папка | Соответствует расположению целевой программы | Указывает на временную папку, корень диска или сетевой путь, не связанный с содержимым ярлыка |
| Значок ярлыка | Совпадает по смыслу с целевым объектом (иконка программы, папки) | Иконка офисного документа (Word, Excel, PDF) у файла с расширением .lnk — несоответствие видно, если включить показ расширений |
| Происхождение файла | Создан вами или штатной установкой программы на рабочем столе/в меню «Пуск» | Пришёл по почте, в архиве, скачан с сайта или обнаружен на чужой флешке |
| Видимость расширения | Вы заранее знаете, что это ярлык (есть стрелка на иконке) | Расширение скрыто, имя файла совпадает с названием документа, которого «не хватает» на диске |
Как проверить LNK-файл перед запуском
Проверка занимает меньше минуты и не требует специальных инструментов — только штатные средства Windows и, по желанию, онлайн-сканер.
- Включите показ расширений файлов. В проводнике откройте «Вид» → «Показать» → «Расширения имён файлов» (в Windows 11) или аналогичный пункт в разделе «Показать/скрыть» (Windows 10) — так вы сразу увидите, что перед вами именно .lnk, а не документ.
- Откройте «Свойства» ярлыка. Правый клик по файлу → «Свойства» → вкладка «Ярлык» и проверьте поле «Объект»: если там указан путь к powershell.exe, cmd.exe или другому системному интерпретатору с подозрительными аргументами — не открывайте файл.
- Не открывайте LNK-файлы с USB-носителей и из почты от неизвестного источника двойным кликом. Если ярлык пришёл вложением в письме, в архиве или обнаружен на чужой флешке — сначала проверьте его, а не открывайте сразу.
- Проверьте файл антивирусом или онлайн-сканером. Правой кнопкой мыши → «Сканировать» установленным антивирусом, либо загрузите файл на сервис, который проверяет его сразу несколькими антивирусными движками.
- При любых сомнениях — не запускайте файл. Если поле «Объект» выглядит необычно, а происхождение файла вызывает вопросы, безопаснее удалить ярлык, чем рисковать.
Если нужно дополнительно убедиться, что скачанный файл (например, дистрибутив программы, на которую ссылается ярлык) не был подменён при передаче, сверьте его с оригиналом — как это сделать, подробно описано в гайде как проверить контрольную сумму файла и зачем это нужно.
Что делать, если вы уже открыли подозрительный LNK
Если вредоносный ярлык уже запущен, важна скорость реакции.
- Отключите компьютер от сети. Выключите Wi-Fi или выдерните кабель — это прервёт связь вредоносного кода с сервером злоумышленника.
- Запустите полное сканирование антивирусом. Не быстрое, а полное — оно проверяет весь диск, а не только системные папки.
- Проверьте криптокошельки, если профиль угрозы совпадает с описанным выше. Если на устройстве хранились сид-фразы или доступ к криптокошелькам — перенесите средства на новый, заведомо чистый кошелёк с другого устройства, как только убедитесь, что заражённая машина отключена от сети.
- Смените пароли с другого устройства. Делайте это с телефона или другого компьютера, а не с заражённой машины.
Частые вопросы про LNK-файлы
Что означает расширение .lnk?
Расширение .lnk обозначает файл-ярлык Windows: он не содержит самого документа или программы, а хранит ссылку (путь) на реальный объект в файловой системе, плюс дополнительные параметры — иконку, рабочую папку, аргументы командной строки.
Почему Windows не показывает расширение .lnk на ярлыках?
Windows по умолчанию скрывает расширения для «известных» типов файлов, включая .lnk, — вместо «Документ.lnk» вы видите просто «Документ» со значком стрелки на иконке. Это сделано для удобства интерфейса, но заодно затрудняет обнаружение подделки, если расширение и иконка не совпадают с реальным типом файла.
Может ли обычный ярлык заразить компьютер сам по себе?
Сам факт существования LNK-файла на диске безопасен — заражение происходит только при запуске (двойном клике), если в поле «Объект» прописана команда на выполнение вредоносного кода, например запуск PowerShell с определёнными аргументами.
Как отличить настоящий ярлык от вредоносного LNK?
Откройте «Свойства» файла и проверьте поле «Объект»: у настоящего ярлыка там обычно короткий путь к знакомой программе или документу. Если там указан системный интерпретатор (powershell.exe, cmd.exe, mshta.exe) с длинными аргументами, значок не соответствует расширению, а сам файл пришёл с неизвестного носителя или по почте — это повод не открывать его.
Безопасно ли открывать LNK-файл, присланный по почте?
Нет, не стоит открывать его сразу. Ярлыки — нетипичное вложение для легитимной переписки, и вредоносные LNK часто распространяются именно через почту. Перед открытием проверьте поле «Объект» в свойствах файла и просканируйте его антивирусом.
Что делать, если на флешке вместо файлов появились ярлыки?
Это характерный признак заражения — описанная выше кампания 2026 года именно так прячет реальные документы и подменяет их вредоносными LNK с тем же именем. Не открывайте такие ярлыки на заражённом компьютере; проверьте носитель антивирусом с другого, заведомо чистого устройства.
Нужно ли удалять все LNK-файлы с компьютера?
Нет, это не требуется и нарушит работу системы — ярлыки на рабочем столе, в меню «Пуск» и на панели задач тоже LNK-файлы, и они абсолютно безопасны, если созданы штатной установкой программ. Удалять стоит только те ярлыки, происхождение которых вызывает сомнение по признакам, описанным в этой статье.
