Varför LNK-filer i Windows är en stor säkerhetsrisk och hur man förblir trygg

LNK-filer utgör en säkerhetsrisk i Windows på grund av en sårbarhet som döljer skadligt innehåll. Lär dig hur du skyddar dig mot dessa attacker med vår guide.

År efter år utnyttjas LNK-filer i malwareattacker, främst på grund av en grundläggande sårbarhet som döljer skadligt innehåll för användare. Microsoft har ännu inte åtgärdat felet, så vi måste vara försiktiga när vi hanterar LNK-filer. Följ stegen i den här guiden för att skydda dig mot attacker som missbrukar dem.

Vad är LNK-filer och varför är de farliga

Du har förmodligen skapat genvägar i Windows tidigare eller låtit appar skapa genvägar (vanligtvis på skrivbordet). Dessa genvägar är LNK-filer och har .lnk-tillägg. Du kanske inte vet detta eftersom .lnk-filtillägget inte visas av Windows, och de har istället en sned pilikon.

Dessa genvägar har ett målfält som pekar på platsen för den app/fil som den kan öppna. Ännu viktigare är att detta målfält också accepterar kommandoradsargument och andra startinstruktioner, vilket gör att illvilliga aktörer kan köra skadliga skript, ofta använda för fillös attack som Astaroth-malware.

Att kunna köra skadliga skript/instruktioner vid körning är inte ens dess sårbarhet. Den huvudsakliga sårbarheten är att en illvillig aktör kan lägga till tomma utrymmen i målfältet bortom dess synliga gräns för att dölja skadliga skript. Användaren kommer att se en säker måladress, men den kommer att köra skadliga instruktioner. Den spåras officiellt under ID: CVE-2025-9491.

En angripare döljer vanligtvis en .lnk-fil i ett arkiv. LNK-filen döljer de skadliga instruktionerna i målfältet och visar en falsk ikon med ett falskt namn som "Instructions.pdf.ink". Eftersom Windows inte visar filtillägget för dessa genvägar ser användaren namnet som "Instructions.pdf". Vid lansering kommer den att utföra attacken.

Visa LNK-filtillägg i Windows

Att veta att det är en genvägsfil och inte en riktig fil är det viktigaste försvaret mot sådana attacker. LNK-filer är skapade för att öppna filer/appar på samma PC eller i en nätverksenhet. Detta innebär att tredje part aldrig kommer att skicka dig en LNK-fil eftersom de inte vet vad som finns på din PC. Att ta emot en LNK-fil i någon form är troligtvis en illvillig attack.

För att göra identifieringen enkel kan du tvinga Windows att visa .lnk-tillägget för alla genvägar. Vi behöver använda ett registerhack för detta, eftersom den inbyggda funktionen för att avslöja filtillägg inte gäller för .ink-filer. Först, aktivera alternativet Visa filändelser och tillämpa sedan registerhacket nedan:

Varning: se till att du säkerhetskopierar registret innan du följer instruktionerna, eftersom varje felaktig ändring i registret kan orsaka systeminstabilitet och möjligt datatapp.

Öppna registret och navigera till följande plats:

HKEY_CLASSES_ROOT\lnkfile

Här, ta bort NeverShowExt-strängen i den högra kolumnen. Du måste starta om datorn för ändringarna att träda i kraft. Du kommer nu att se att alla genvägar har .lnk-tillägg. Om du någonsin får en fil från någon med .ink-tillägg, öppna inte filen.

Analysera LNK-filen noggrant

Om det finns en LNK-fil som du finner misstänkt kan du noggrant analysera dess målfält för att hitta ledtrådar. Högerklicka på LNK-filen och välj Egenskaper. I fliken Genväg kommer du att hitta Mål-fältet som du behöver analysera.

För en vanlig appgenväg borde detta fält bara visa den exakta platsen där appen finns på din PC, inuti citat. Om det inte leder till den förväntade appen/filen, och istället öppnar ett kommandotool som cmd.exe, powershell.exe, mshta.exe, wscript.exe, etc., kan det vara skadligt.

Vidare, om du ser slumpmässiga tecken, binär kod eller vita utrymmen i slutet av strängen, kan det också tyda på skadligt beteende.

Avaktivera AutoPlay och filförhandsgranskningar i Windows

Historiskt sett har Windows AutoPlay för USB-enheter och filförhandsgranskningsfunktionen i Utforskaren utnyttjats för LNK-filsattacker. Även om Microsoft har förbättrat säkerheten finns fortfarande risken kvar på grund av dessa funktioners natur. Om du inte använder dessa funktioner bör du avaktivera dem för säkerhetens skull.

I Windows-inställningar, gå till Bluetooth & enheter → AutoPlay och stäng av strömbrytaren här för att inaktivera AutoPlay. För filförhandsgranskningar, följ vår guide för att inaktivera filförhandsgranskningar och hantera undantag.

Aktivera kontrollerad mappåtkomst

Controlled Folder Access är en funktion i Windows som skyddar mot ransomware. Den skyddar viktiga användarmappar som bilder, dokument och skrivbord från att manipuleras av otillförlitliga källor. Eftersom många LNK-filattacker interagerar med dessa mappar för skadliga åtgärder kan denna funktion erbjuda säkerhet. Följ vår guide för att aktivera Controlled Folder Access.

Härda PowerShell-säkerhet

LNK-filattacker kör ofta PowerShell-kommandon för att ta över. Du kan härda PowerShell-säkerheten genom att endast tillåta signerade skript för att förbättra säkerheten. Sök efter "powershell" i Windows Sök, högerklicka på det och välj Kör som administratör. Här kör du följande kommando och skriv sedan "y" för att bekräfta ändringen.

Set-ExecutionPolicy AllSigned

Detta kan påverka vissa arbetsflöden som beror på anpassade skript, som i företagsmiljöer. Om du vill ångra ändringarna kör du följande kommando:

Set-ExecutionPolicy Undefined

Du bör också följa tipsen i vår guide för att säkra PowerShell för ännu bättre säkerhet.

En god tumregel för säkerhet är att aldrig öppna en LNK-fil om du inte har skapat den själv eller tillåtit en app att skapa den, särskilt om du har laddat ner den från internet. Se också till att du använder Windows säkerhetsfunktioner, särskilt de inaktiverade säkerhetsfunktionerna.

Nu när du har läst klart Varför LNK-filer i Windows är en stor säkerhetsrisk och hur man förblir trygg, inbjuder vi dig att utforska kategorin Windows ytterligare. Där hittar du fler intressanta artiklar som kommer att utöka dina kunskaper och hålla dig informerad. Sluta inte läsa och upptäcka mer!