Безопасность
LNK-файл: что это, чем опасен и как проверить ярлык перед запуском
LNK — ярлык Windows, но вредоносный LNK-файл запускает PowerShell или вирус одним кликом. Как распознать подделку и проверить файл перед открытием.
Что такое файл .url и как его открывает Windows
.url (Internet Shortcut) — это текстовый формат Windows для ярлыков на веб-адрес или сетевой ресурс. В отличие от «настоящей» папки или программы, файл .url не содержит целевого контента вообще — он хранит только ссылку, по которой Windows переходит, когда вы дважды кликаете по значку. Открыть .url-файл можно даже обычным текстовым редактором: внутри — читаемый текст, никакого бинарного кода.
Главное отличие .url от соседнего по смыслу формата .lnk — в самой природе файла. LNK-файл — бинарный ярлык, который обычно указывает на локальный объект (программу, папку, документ) и может хранить аргументы командной строки для запуска системных интерпретаторов. .url — текстовый ярлык, который по изначальному назначению ведёт на веб-адрес (http/https) или на сетевой путь (UNC), а не на локальный исполняемый файл. Форматы разные, векторы атак разные, но объединяет их одно: Windows по умолчанию скрывает расширение и у .lnk, и у .url — пользователь видит просто название со значком браузерной закладки, без «.url» в конце. Это тот же корень проблемы, что разобран в статье про LNK-файлы: невозможность отличить ярлык от обычного файла на глаз, если в проводнике не включено отображение расширений.
Что скрыто внутри: URL=, IconFile=, WorkingDirectory=, BASEURL=
Формат .url — это по сути INI-файл с единственной обязательной секцией [InternetShortcut]. Внутри неё лежат пары «ключ=значение»:
| Поле | Что хранит | На что обратить внимание |
|---|---|---|
URL= | Адрес, на который ведёт ярлык — обычный http/https-адрес либо UNC-путь к сетевому ресурсу (\\server\share\...) | UNC-путь или IP-адрес вместо обычного домена — повод насторожиться |
IconFile= | Путь к файлу, из которого берётся значок ярлыка | Ссылка на сетевой или временный путь вместо локального системного значка |
WorkingDirectory= | Рабочая папка, которая используется при открытии ресурса | Сетевой путь или путь во временной папке, не связанный с содержимым ярлыка |
BASEURL= | Базовый адрес для относительных ссылок внутри ярлыка | Несоответствие домену, указанному в URL= |
Самое полезное практическое следствие этой простоты: файл .url можно открыть в Блокноте (правый клик → «Изменить» или «Открыть с помощью» → «Блокнот») и прочитать значения всех полей, не рискуя ничего запустить. Это и есть базовый способ самостоятельной проверки — подробнее он разобран в разделе «Как безопасно проверить .url-файл» ниже.
Отдельный красный флаг — UNC-путь в поле URL= (строка вида \\185.0.0.1\share\file.exe вместо обычного https://...). Легитимные ярлыки на веб-страницы почти всегда содержат обычный адрес сайта; ссылка на сетевую папку с незнакомым IP в этом поле типична именно для вредоносных .url-файлов, о механике которых — в следующих разделах.
Почему .url оказался удобным инструментом для атак
Сам файл .url не исполняемый — он не содержит программного кода и не может «заразить» систему одним своим присутствием на диске. Опасность возникает в момент перехода: когда пользователь кликает по ярлыку, Windows открывает указанный ресурс — и именно здесь срабатывают уязвимости защитных механизмов, которые должны предупреждать о переходе на подозрительный или сетевой ресурс, но в ряде случаев этого не делали.
Второй фактор риска — визуальный. Windows по умолчанию скрывает расширение .url, а иконка ярлыка обычно похожа на значок браузера или закладки — внешне .url-файл неотличим от обычной, безопасной ссылки на сайт. В сочетании с тем, что имя файла легко маскируется под документ (например, «Счёт.pdf.url», где реальное расширение скрыто), пользователь физически не может на глаз отличить обычный ярлык от вредоносного без включённого отображения расширений и проверки содержимого файла.
!
Важно
Опасен не сам формат .url, а то, что переход по нему может обойти предупреждение системы безопасности, которое должно сработать при открытии потенциально опасного или сетевого ресурса. Проблема — не в коде файла, а в обработке перехода операционной системой.
Какие уязвимости и атаки эксплуатировали .url-файлы
Самый заметный случай последних лет — CVE-2023-36025, уязвимость обхода функции безопасности Windows SmartScreen, которую Microsoft закрыла патчем 14 ноября 2023 года (MSRC). Механика эксплуатации: злоумышленник формировал .url-файл с полем URL=, указывающим на вредоносный исполняемый файл в сетевой папке (UNC-путь); при открытии такого .url SmartScreen — компонент, который должен показывать предупреждение перед запуском подозрительных файлов, скачанных из интернета, — попросту не срабатывал.
По данным BleepingComputer, уязвимость активно использовалась в кампаниях, доставлявших Phemedrone Stealer — вредоносную программу для кражи данных из браузеров, Telegram, Discord и криптокошельков, — без единого предупреждения SmartScreen на экране жертвы. Технический разбор механики эксплуатации в этих кампаниях (включая цепочку с дополнительными скриптами и подменой отображаемого значка) приводят исследователи Trend Micro: они зафиксировали эксплуатацию CVE-2023-36025 и в кампаниях Mispadu — банковского трояна, нацеленного на пользователей в Латинской Америке.
Это не первый подобный случай: более ранний CVE-2024-38112, описанный Check Point Research, также эксплуатировал Internet Shortcut-файлы, но через другой вектор — принудительный возврат к устаревшему движку Internet Explorer при открытии специально сформированного .url-ярлыка, что позволяло обойти более современные защитные механизмы Microsoft Edge и Chromium-браузеров.
Стоит отдельно отделить одну вещь: в начале 2026 года закрыли похожую по духу, но другую уязвимость — CVE-2026-21510 (обход Mark-of-the-Web, патч 10 февраля 2026 года). Она касается преимущественно LNK-файлов и ярлыков Панели управления, а не .url, и подробно разобрана в статье про LNK-файлы — не путайте эти два сюжета, несмотря на общий класс проблемы «обход проверки файла-ярлыка перед открытием».
Свежий пример 2026 года: .url, WebDAV и Cloudflare Tunnel
В феврале 2026 года аналитики Security Boulevard описали новую многоэтапную схему доставки вредоносного ПО, в которой .url- и LNK-файлы используются вместе с протоколом WebDAV и туннелями Cloudflare (Security Boulevard). Идея атаки: .url-файл с полем URL=, указывающим на WebDAV-ресурс, который через туннель Cloudflare выглядит для проводника Windows как обычная локальная сетевая папка. Пользователь открывает файл в «локальной» папке — а на деле Windows подключается к удалённому серверу злоумышленника и запускает полезную нагрузку (в описанных случаях — RAT, то есть средство удалённого доступа к заражённому устройству), минуя типичные предупреждения о запуске файла из интернета.
По данным аналитиков OPSWAT, .url-файлы «вернулись» в фокус внимания исследователей безопасности именно из-за такого сочетания: формат давно знаком защитным средствам, но связка с WebDAV и туннелированием трафика через легитимные облачные сервисы усложняет детектирование — трафик к Cloudflare сам по себе не выглядит подозрительным для большинства сетевых фильтров.
⚠
WebDAV-ресурс в поле URL= — повод насторожиться
Если открытое в Блокноте содержимое .url-файла ссылается на WebDAV-адрес или на незнакомый сетевой путь (а не на обычный сайт), не открывайте этот файл двойным кликом — сначала проверьте источник и просканируйте файл антивирусом.
Пять признаков, что перед вами подозрительный .url-файл
Отличить подозрительный .url от обычного ярлыка на сайт можно без специальных инструментов — достаточно нескольких проверок, описанных ниже.
| Признак | Безопасный .url-ярлык | Повод насторожиться |
|---|---|---|
Поле URL= | Обычный адрес сайта, например https://example.com | UNC-путь, IP-адрес или WebDAV-ресурс вместо привычного домена |
| Значок ярлыка | Стандартный значок браузерной закладки или фавикон сайта | Иконка документа (PDF, Word) у файла с типом Internet Shortcut |
| Происхождение файла | Создан вами вручную («Добавить в закладки» → «Сохранить как файл») или штатной установкой программы | Пришёл по почте, во вложении архива или с чужой флешки |
| Имя файла | Понятное имя, соответствующее содержимому ссылки | Имя маскируется под документ — «Счёт.pdf.url» с расширением, скрытым проводником |
WorkingDirectory= / IconFile= | Отсутствуют или указывают на локальные системные пути | Указывают на сетевые или временные каталоги |
Как безопасно проверить .url-файл перед открытием
Проверка .url-файла занимает меньше минуты и не требует специальных инструментов, кроме Блокнота и, по желанию, антивирусного сканера.
- Включите показ расширений файлов в проводнике. «Вид» → «Показать» → «Расширения имён файлов» (Windows 11) или аналогичный пункт в разделе «Показать/скрыть» (Windows 10) — подробная инструкция есть в статье про LNK-файлы, шаги идентичны для обоих форматов ярлыков.
- Откройте файл в Блокноте, а не двойным кликом. Правый клик по файлу → «Открыть с помощью» → «Блокнот» — вы увидите текстовое содержимое с полем
URL=без какого-либо риска запуска. - Проверьте, на что указывает поле URL=. Обычный адрес сайта — нормально; UNC-путь, IP-адрес или WebDAV-ресурс — сигнал остановиться и не открывать файл двойным кликом.
- Проверьте файл антивирусом или онлайн-сканером. Подробный разбор доступных способов — в гайде как проверить файл на вирусы онлайн.
- При любых сомнениях — не открывайте файл вообще. Если происхождение неизвестно, а поле URL= выглядит нетипично, безопаснее удалить .url-файл, чем проверять его на практике.
Та же логика предварительной проверки «посмотреть содержимое перед запуском» применима и к скриптам: если вместе с .url-файлом пришли .bat или .vbs-скрипты, перед запуском прочитайте их так же, как описано в гайде как проверить скрипт .bat или .vbs перед запуском.
Что делать, если вы уже открыли подозрительный .url-файл
Если .url-файл уже был открыт и переход состоялся, важна скорость реакции.
- Отключите компьютер от сети. Выключите Wi-Fi или выдерните сетевой кабель — это прервёт связь с удалённым сервером, на который вёл ярлык.
- Запустите полное сканирование антивирусом. Не быстрое, а полное сканирование диска — вредоносная нагрузка, доставленная через .url, могла уже закрепиться в системе.
- Смените пароли с другого, заведомо чистого устройства. Если есть подозрение на кражу данных (учётных записей браузера, мессенджеров, криптокошельков) — делайте это с телефона или другого компьютера, а не с заражённой машины.
Частые вопросы
Чем .url отличается от .lnk?
.url — текстовый INI-файл, который по умолчанию ссылается на веб-адрес или сетевой ресурс и легко читается в Блокноте. .lnk — бинарный ярлык Windows, который обычно указывает на локальный объект (программу, папку, документ) и может хранить аргументы командной строки для запуска системных интерпретаторов. Форматы разные, векторы атак разные, подробнее про .lnk — в статье что такое LNK-файл и чем он опасен.
Может ли файл .url заразить компьютер сам по себе?
Нет, сам факт существования .url-файла на диске безопасен — он не содержит исполняемого кода. Риск возникает только при переходе по ссылке: если защитный механизм Windows, который должен предупредить о потенциально опасном ресурсе, не срабатывает (как было с CVE-2023-36025), переход может завершиться загрузкой и запуском вредоносной программы.
Почему Windows не показывает расширение .url?
Windows по умолчанию скрывает расширения для «известных» типов файлов, включая .url и .lnk — вместо полного имени с расширением вы видите только название и значок, похожий на браузерную закладку. Это сделано для удобства интерфейса, но заодно мешает заметить подделку, если имя файла и его реальный тип не совпадают.
Как посмотреть содержимое .url-файла без риска?
Откройте файл не двойным кликом, а через правый клик → «Открыть с помощью» → «Блокнот». Внутри вы увидите текстовую секцию [InternetShortcut] с полями URL=, IconFile= и другими — этот способ не запускает переход и полностью безопасен.
Актуальна ли уязвимость CVE-2023-36025 в 2026 году?
Microsoft закрыла эту уязвимость патчем 14 ноября 2023 года, поэтому на обновлённых системах она не эксплуатируется. Проблема сохраняется на устройствах без установленных обновлений безопасности — а также в целом показывает, что сам класс атак через .url-файлы (в том числе новыми способами, как в кампаниях с WebDAV 2026 года) остаётся актуальным.
Что делать, если .url-файл пришёл по почте от знакомого?
Не открывайте его сразу двойным кликом, даже если отправитель знаком — учётную запись могли скомпрометировать. Сначала откройте файл в Блокноте и проверьте поле URL=: обычный адрес сайта — скорее всего норма, UNC-путь, IP-адрес или WebDAV-ресурс — повод уточнить у отправителя напрямую (не отвечая на то же письмо) и проверить файл антивирусом.
