¿Qué es el formato de archivo LNK?
Los archivos .lnk son los archivos de acceso directo utilizados en el sistema Windows. Contienen información sobre el tipo y la ubicación del destino -identificado por una ruta local, un recurso compartido UNC o una lista de Shell Item ID- y sobre el programa asociado.
Los archivos .lnk pueden contener información adicional definida por el usuario. Si están asociados con una aplicación .exe, también pueden indicar atributos de inicio iniciales para el programa al que se refieren, como el estado de la ventana, el directorio de trabajo y los argumentos de la línea de comandos. En Windows, los archivos .lnk muestran el mismo icono que su archivo de destino. La extensión .lnk está oculta en el nombre del archivo por defecto y no aparece en el Explorador de archivos.
El formato binario está documentado por Microsoft como la especificación MS-SHLLINK (publicada en 2010). Cada archivo .lnk comienza con un encabezado fijo de 76 bytes: bytes mágicos 4C 00 00 00 seguidos por el CLSID de la clase shell link fija. Los formatos de acceso directo relacionados incluyen .url (acceso directo de internet) y .pif (acceso directo de programa DOS heredado).
Cuando un acceso directo .lnk deja de funcionar
Cambiar algunos parámetros del archivo de destino -como su nombre o ubicación- provoca la desactivación de todos los archivos de acceso directo que conducen a él. Los cambios en las letras de unidad o en las asignaciones de recursos compartidos de red también pueden hacer que los accesos directos del escritorio desaparezcan. Windows incluye un servicio de seguimiento de enlaces que intenta reparar los accesos directos rotos automáticamente; cuando falla, la solución recomendada es volver a crear el acceso directo o actualizar la ruta de destino a través del diálogo de *Propiedades*.
Seguridad y protección
RIESGO: HIGHLNK es uno de los formatos de acceso inicial más abusados en Windows. Un acceso directo puede iniciar silenciosamente cmd/PowerShell con argumentos controlados por el atacante y un icono disfrazado (PDF, carpeta); desde que Microsoft bloqueó las macros de Office de internet en 2022, los LNK dentro de archivos adjuntos ZIP/ISO se convirtieron en un vector principal de malware. Los fallos históricos de LNK incluyen CVE-2010-2568 (Stuxnet, ejecución de código al procesar iconos) y ZDI-CAN-25373 / CVE-2025-9491 - argumentos rellenados con espacios en blanco que ocultan el comando real en el diálogo de Propiedades, explotado por más de 11 grupos patrocinados por estados desde ~2017 y parcheado por Microsoft solo en las actualizaciones de noviembre de 2025. Reglas para usuarios: nunca haga doble clic en un .lnk que llegue por correo/USB, inspecciónelo con LECmd/ExifTool en su lugar y mantenga Windows actualizado. El «virus de acceso directo» en unidades USB oculta carpetas y las reemplaza con accesos directos maliciosos; limpie con un escaneo de AV más attrib, no se limite a borrar los enlaces.
Detalles del formato
en pocas palabrasProgramas que abren archivos LNK
Windows3 apps
Microsoft Windows (File Explorer)
Integrado El doble clic ejecuta el destino. Clic derecho → Propiedades muestra el campo Destino; «Abrir ubicación del archivo» salta al archivo real. Para reparar una asociación .lnk rota, elimine HKCU\...\FileExts\.lnk\UserChoice y reinicie el Explorador.
LECmd (Eric Zimmerman)
Gratis Línea de comandos: LECmd.exe -f archivo.lnk - vuelca todos los metadatos (destino, marcas de tiempo, ID de máquina) sin ejecutar nada; estándar forense.
ExifTool
Código abierto exiftool archivo.lnk imprime la ruta de destino, los argumentos y los metadatos de la máquina de forma segura (sin ejecución); también funciona en macOS/Linux. 
macOS1 app
ExifTool
Código abierto exiftool archivo.lnk imprime la ruta de destino, los argumentos y los metadatos de la máquina de forma segura (sin ejecución); también funciona en macOS/Linux. 
Linux2 apps
liblnk (lnkinfo)
Código abierto Instale liblnk-utils, luego lnkinfo archivo.lnk para inspeccionar el destino y los metadatos del acceso directo.
ExifTool
Código abierto exiftool archivo.lnk imprime la ruta de destino, los argumentos y los metadatos de la máquina de forma segura (sin ejecución); también funciona en macOS/Linux. Detalles técnicos
especificación profunda| Tipo de contenedor | Encabezado binario de longitud fija (76 bytes) seguido de bloques de datos opcionales de longitud variable |
| Bytes mágicos | 4C 00 00 00 01 14 02 00 … C0 00 … 46 - los primeros 4 bytes codifican el tamaño del encabezado; los bytes 4-19 contienen el CLSID de la clase shell link fija, ambos en el desplazamiento 0 |
| Tipo MIME | application/x-ms-shortcut |
| Orden de bytes | Little-endian en todos los campos numéricos |
| Codificación de cadenas | Code-page (ANSI) o Unicode (UTF-16 LE); una bandera en ShellLinkHeader indica qué codificación está presente |
| Tipos de referencia de destino | Ruta de archivo o carpeta local, ruta de red UNC, raíz de volumen o ruta expandida por variables de entorno mediante EnvironmentVariableDataBlock |
| Estructuras de datos clave | ShellLinkHeader, LinkTargetIDList (ITEMIDLIST), LinkInfo, bloques StringData, bloques ExtraData - todos opcionales excepto el encabezado |
| Campo de estado de ventana | ShowCommand en el encabezado: 1 = Normal, 3 = Maximizado, 7 = Minimizado |
| Campo de tecla de acceso rápido | Valor de 16 bits en el encabezado que combina un código VirtualKey con banderas modificadoras (Shift, Ctrl, Alt) |
| Soporte de ruta relativa | La cadena opcional RelativePath permite que el shell de Windows repare automáticamente un acceso directo roto cuando el destino se mueve dentro del mismo volumen |
| Marcas de tiempo de destino incrustadas | Los valores FileTime para la creación, última escritura y último acceso del destino se almacenan en LinkInfo, lo que hace que los archivos .lnk sean artefactos valiosos en informática forense |
| Almacenamiento de iconos | Cadena de ruta IconLocation separada más un IconIndex entero que apunta al recurso de icono dentro de ese archivo |
| Visibilidad de la extensión | Oculta por el shell de Windows por defecto; controlada por el valor HideFileExt bajo HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced |
| Historial de seguridad | Explotado por Stuxnet (CVE-2010-2568): archivos .lnk maliciosos activaban la ejecución de código al renderizar el icono; parcheado en MS10-046 (agosto de 2010) |
| Soporte de plataformas | Nativo de Windows 95 y todas las versiones posteriores de Windows; analizable en Linux y macOS a través de liblnk (lnkinfo) y ExifTool |
| Lanzado | 1995 (Windows 95); binary format publicly documented since 2010 as MS-SHLLINK |
| Estándar abierto | Sí · libre de regalías |
| Especificación | learn.microsoft.com |
Conversiones de LNK
Preguntas y respuestas de la comunidad
preguntado por usuariosAún no hay preguntas; sea el primero en preguntar sobre los archivos LNK.
