U 盘文件消失是什么情况
U 盘蠕虫最经典的伎俩不是删除文件，而是给文件整体加上“系统+隐藏”属性，再用一个同名的 exe 或快捷方式冒充文件夹。资源管理器默认不显示系统隐藏文件，用户看到的就是“文件不见了、空间却被占着”。attrib 能把这些属性摘掉，让文件重新出现，但这只是止血，病毒本体还在。
基本信息
| 适用平台 | Windows 全版本，CMD 命令 |
|---|---|
| 典型症状 | U 盘文件“消失”，可用空间却被占用 |
| 恢复命令 | attrib -s -h /s /d X:\*.* |
| 残留检查 | 根目录下的 autorun.inf、.vbs、可疑 .exe 与同名快捷方式 |
典型使用场景
- U 盘插到某台电脑后文件全部消失：先恢复属性再看残留
- 打印店/会议室回来发现文件夹变成快捷方式：典型蠕虫伪装手法
- 回收被误加隐藏属性的资料：属性恢复不改变文件内容
- 批量处理多个分区：对所有盘符循环执行属性清理
- 取证前的初步整理：先记录症状再恢复，避免破坏现场
恢复步骤
恢复步骤
:: 假设 U 盘是 X:，先切到根目录
cd /d X:\
:: 清除“系统+隐藏”属性（对子目录与文件一起处理）
attrib -s -h /s /d X:\*.*
:: 列出所有文件（含隐藏/系统）核对是否恢复
dir /a /b X:\
:: 找自动运行类残留
dir /a /b X:\ | findstr /i "autorun *.vbs *.bat"
:: 确认无用后再删（先记录文件名）
del /f /q X:\autorun.inf常见残留与含义
| 对象 | 特征 | 处理 |
|---|---|---|
| autorun.inf | 指向可疑 exe 的自动运行配置 | 高版本 Windows 已不执行，但仍要清理 |
| 同名快捷方式 | 文件名与真实文件夹相同 | 指向 exe 的 lnk 一律删除 |
| 可疑 exe | 随机字母数字命名 | 先隔离备份再删除，交安全团队确认 |
| RECYCLER/$RECYCLE.BIN 异常 | 被用作隐藏目录 | 用显示隐藏文件核对内容 |
恢复属性只是让文件重新可见，病毒本体仍在 U 盘或已写入电脑。正确顺序是：先离线查毒，再插到干净机器上复制数据，最后对接触过的电脑做全盘扫描。可疑样本保留给安全团队，不要双击运行。
在资源管理器里勾选“显示隐藏的文件、文件夹和驱动器”并取消“隐藏受保护的操作系统文件”后，能看到真实文件与伪装文件同时存在，便于人工分辨；排查完记得改回去。