U盘反病毒抢救数据
内容提要
文章介绍一种U盘病毒：它将U盘原始数据移入带系统、隐藏属性且含零宽Unicode字符的嵌套目录，根目录仅留伪装成U盘的EXE，双击即加载恶意DLL并打开原数据目录，诱导用户反复传播。作者建议使用对外专用U盘、先杀毒、显示扩展名、取回后格式化，并给出用dir、attrib、PowerShell恢复数据及去除畸形属性的方法。
延伸解读
病毒传播的隐蔽机制
该U盘病毒将原始数据移入带系统、隐藏属性且含零宽Unicode字符的嵌套目录，根目录仅留一个伪装成U盘的EXE文件。由于资源管理器默认不显示扩展名，用户双击该EXE时实际执行了恶意程序，并自动打开原始数据目录，制造“打开U盘”的假象。这种设计诱导用户反复双击，从而在多个电脑间传播病毒。
老旧系统与低防环境的风险
文章指出，未自带Windows Defender或无法更新病毒库的老旧操作系统，以及未禁用可移动介质自动执行功能的电脑，是U盘病毒的理想宿主。即使个人电脑防护到位，与低防电脑共用U盘仍可能引入病毒。因此，对外交换应使用专用U盘，避免存放高价值数据，并在插入自己电脑前先用杀软扫描。
数据抢救的关键步骤
若U盘已感染，抢救数据需通过命令行操作：先用dir或PowerShell找出隐藏目录，再用attrib或PowerShell卸掉系统、隐藏属性，最后对含畸形Unicode字符的目录或文件重命名。文章强调不要在资源管理器中操作，并提供了具体命令示例。对于异常目录名，ren命令无法修正，需借助PowerShell的Move方法。
畸形文件名的处理限制
资源管理器限制文件名结尾不能有空格或点号，但底层文件系统允许通过Win32 API创建此类畸形名称，恶意软件常利用这一点阻止用户访问。使用Windows自带工具时，需借助\\?\前缀处理异常文件名，但重命名目录时源目录不支持该语法，因此ren可修正异常文件名却无法修正异常目录名，需改用PowerShell。
Q&A
U盘病毒是如何把原始数据藏起来并伪装自己的？
病毒将U盘原始数据移入名字含零宽Unicode字符、带系统隐藏属性的多层嵌套目录，根目录只留一个伪装成U盘的EXE（如USB Disk(117 GB).exe），双击该EXE会加载恶意DLL并自动打开原数据目录，让用户误以为打开了U盘。
为什么在资源管理器里看不到U盘里的异常目录和文件？
因为病毒创建的目录和文件带有系统、隐藏双属性，且目录名包含零宽Unicode字符（如U+200B、U+200C、U+200D），这些字符不可见，导致资源管理器默认不显示，肉眼也无法察觉。
如何用命令行找出U盘里被隐藏的原始数据目录？
在cmd中使用dir命令，例如dir /a /r /q /t:a X:\检查根目录隐藏项，dir /a:sh /r /q /t:a /s X:\查找带系统隐藏属性的项，dir /a /r /q /t:a /s X:\*.exe遍历所有exe文件。也可用PowerShell的Get-ChildItem -Force -LiteralPath递归枚举。
怎样去除病毒目录的系统隐藏属性并重命名含畸形字符的项？
可用attrib -s -h -r /s /d /l X:\*.* 去除属性；对于含零宽字符的项，用PowerShell的[System.IO.File]::SetAttributes和Move方法重命名，或使用ren命令配合\\?\前缀处理异常文件名（但目录名不支持\\?\前缀，需用PowerShell）。
日常使用U盘时应该采取哪些措施防范此类病毒？
对外使用专用小容量U盘，不存放高价值数据；从外部取回U盘后先用杀软扫描；设置资源管理器始终显示扩展名和文件类型；非必要不回收数据，取回后直接快速格式化；发现异常立即封存并找专业人士处理。
零宽Unicode字符在U盘病毒中起什么作用？
零宽字符（如U+200B、U+200C、U+200D、U+202E）不可见，被用于目录或文件名中，使资源管理器无法正常显示和操作，甚至制造视觉误导（如U+202E使后续字符反序显示，将exe伪装成txt），从而隐藏恶意文件并阻碍用户清除。
