Que sont les dossiers WOW64 et SysWOW64 et à quoi servent-ils sous Windows ?

Informatec Digital » Ressources » Que sont les dossiers WOW64 et SysWOW64 et à quoi servent-ils sous Windows ?

Si vous avez déjà ouvert le Gestionnaire des tâches Windows parce que votre ordinateur fonctionnait plus lentement que d'habitude, vous avez probablement remarqué des processus étranges faisant référence à SysWOW64 ou au mystérieux dossier C:\Windows\SysWOW64 . Parfois, ils semblent même consommer beaucoup de mémoire, il est impossible de les arrêter, et bien sûr, on se pose immédiatement la question : « Et si c'était un virus ? »

De plus, en tentant d'accéder à l'emplacement du fichier depuis le Gestionnaire des tâches, vous constatez que le dossier contient des centaines de fichiers .dll et .exe , atteignant facilement plusieurs gigaoctets. Pire encore, Windows vous empêche de le supprimer comme n'importe quel autre dossier. Il est compréhensible que cela puisse être inquiétant, mais il est important de savoir que SysWOW64 n'est pas, par défaut, un virus , mais un composant essentiel du système d'exploitation.

Que sont WOW64, SysWOW64 et pourquoi ces étranges dossiers existent-ils ?

Dans les systèmes Microsoft modernes, les versions 64 bits de Windows sont conçues pour être compatibles à la fois avec les applications 64 bits et les anciens programmes 32 bits. Pour ce faire, Windows intègre une technologie appelée WOW64 (Windows on Windows 64) , qui agit comme une sorte de « traducteur » entre les applications 32 bits et le système d'exploitation 64 bits.

Ce composant WOW64 fournit une couche de compatibilité permettant à un programme 32 bits de se comporter comme s'il s'exécutait sur un système Windows 32 bits standard, même s'il s'exécute en réalité sur un système 64 bits. Pour ce faire, le système utilise une combinaison de redirection de fichiers et de registre , ainsi qu'un ensemble de bibliothèques gérant la traduction et le changement de contexte entre les systèmes 32 bits et 64 bits.

Le dossier SysWOW64 fait partie de ce mécanisme . Sur un système Windows 64 bits, vous trouverez deux répertoires système principaux : C:\Windows\System32 et C:\Windows\SysWOW64 . Malgré son nom, System32 contient les bibliothèques et les exécutables 64 bits, tandis que SysWOW64 stocke les versions 32 bits nécessaires aux anciens programmes.

Cette organisation apparemment contradictoire s'explique par un problème de compatibilité avec les logiciels anciens . De nombreux développeurs ont intégré en dur le chemin C:\Windows\System32 dans leur code , supposant que ce dossier contiendrait toujours les bibliothèques système. Afin d'éviter toute incompatibilité avec ces logiciels lors du passage à une architecture 64 bits, Microsoft a décidé que System32 resterait le répertoire « principal » du système, contenant désormais les binaires 64 bits, et a créé SysWOW64 pour héberger les binaires 32 bits.

En bref, WOW64 et SysWOW64 permettent aux anciennes applications 32 bits de fonctionner sans modification dans un environnement 64 bits, en gérant les différences architecturales de manière transparente pour l'utilisateur.

Différences entre Windows 32 bits et 64 bits : RAM, programmes et compatibilité

Pendant de nombreuses années, la plupart des ordinateurs vendus au grand public utilisaient des architectures 32 bits et des versions 32 bits de Windows. Sur ces systèmes, la limite pratique de la mémoire vive utilisable se situait généralement entre 3 et 4 Go , une partie de l'espace d'adressage étant réservée à la carte graphique et à d'autres périphériques.

Avec l'arrivée de processeurs 64 bits abordables et de systèmes d'exploitation comme Windows 7 et les versions ultérieures , le marché a fait un bond spectaculaire vers l'architecture 64 bits. Un système Windows 64 bits peut gérer des quantités de mémoire nettement supérieures, atteignant des dizaines, voire des centaines de gigaoctets de RAM dans certaines éditions , ce qui permet le développement d'applications plus exigeantes et l'amélioration des performances globales, notamment en milieu professionnel.

Sur un système 64 bits, vous pouvez exécuter des programmes 64 bits natifs et, grâce à WOW64, également des applications 32 bits classiques. L'émulateur WOW64 garantit que le programme 32 bits perçoive un environnement similaire à celui d'un système Windows 32 bits, avec ses propres bibliothèques et chemins système , même si son fonctionnement interne est différent.

La plupart des programmes 32 bits n'ont pas besoin de savoir s'ils s'exécutent sur un système 32 bits ou 64 bits. Ce n'est que dans des cas très spécifiques, lorsque le logiciel doit faire la distinction entre les architectures, qu'il peut recourir à des API Windows spécifiques pour le déterminer. Pour l'utilisateur lambda, l'important est que, généralement, aucune action particulière n'est requise : le système gère cela automatiquement.

Il existe cependant d' importantes exceptions . Certaines applications de bas niveau, comme de nombreux anciens antivirus, pilotes ou outils de sécurité interagissant directement avec le noyau, nécessitent des versions 64 bits spécifiques pour fonctionner correctement sur un système Windows 64 bits. Dans ces cas, une version 32 bits peut être incompatible ou fortement limitée.

Dossiers System32, SysWOW64 et Program Files : contenu de chacun

Lors de l'installation de Windows 64 bits sur un ordinateur compatible, plusieurs dossiers système et de programmes apparaissent , ce qui peut être déroutant au premier abord. Au niveau du disque, les principaux chemins d'accès à connaître sont les suivants :

• C: \ Windows \ System32: Dossier système Windows qui, sur un système 64 bits, stocke binaires 64 bits (fichiers exécutables et DLL).
• C: \ Windows \ SysWOW64: dossier système réservé pour le fichiers 32 bits qui utilisent des applications 32 bits sous WOW64.
• C:\Fichiers programme (o C: \ Program Files): répertoire destiné à Programmes 64 bits et ses fichiers associés.
• C:\Fichiers de programme (x86) (o C: \ Program Files (x86)): dossier où le Programmes 32 bits sur un système Windows 64 bits.

Le détail le plus surprenant est que le dossier System32 contient du code 64 bits , tandis que SysWOW64 est rempli de fichiers 32 bits. C'est exactement l'inverse de ce à quoi on pourrait s'attendre en lisant simplement les noms. La raison, comme mentionné précédemment, est de maintenir la compatibilité avec les anciens logiciels qui s'attendent à trouver les ressources système dans System32.

En pratique, Windows redirige de manière transparente de nombreux accès disque. Lorsqu'une application 32 bits tente d'accéder à C:\Windows\System32 , le sous-système WOW64 redirige cette requête vers C:\Windows\SysWOW64 , permettant ainsi au programme de charger les bibliothèques 32 bits appropriées sans que personne ne s'en aperçoive.

Concernant les dossiers d'installation, un phénomène similaire se produit. Les applications 64 bits sont installées par défaut dans « Program Files » , tandis que les applications 32 bits sont installées dans « Program Files (x86) » . Un programme d'installation bien conçu détecte l'architecture du système et place chaque fichier binaire dans le dossier approprié afin d'éviter les conflits.

Bien qu'un programme puisse parfois fonctionner même s'il est installé dans le « mauvais » dossier, il est toujours préférable de respecter cette structure . Si une application demande à Windows le chemin d'accès à « Program Files » et que vous l'avez installée au mauvais endroit, elle risque de rechercher des fichiers de support dans le mauvais répertoire et de dysfonctionner de manière difficile à diagnostiquer.

Que signifient WOW64 et x86 ? Un peu d’histoire.

Le terme WOW64 provient de « Windows on Windows 64 », que l'on peut comprendre comme « Windows 32 bits exécuté par-dessus Windows 64 bits ». Il s'agit du composant qui permet aux applications 32 bits de fonctionner sur un système d'exploitation 64 bits sans intervention de l'utilisateur. Il y parvient en fournissant une couche de compatibilité qui traduit les appels entre les deux systèmes d'exploitation.

Pour fonctionner, WOW64 s'appuie sur plusieurs bibliothèques de liens dynamiques (DLL) très spécifiques :

• wow64.dll: sert d'interface principale, traduisant les appels 32 bits en leur équivalent 64 bits.
• wow64win.dll: fournit les points d'entrée que les applications utilisent pour interagir avec le sous-système 64 bits.
• wow64cpu.dllIl est responsable de la gestion du changement de mode d'exécution entre 32 et 64 bits dans le processeur.

En revanche, le terme x86 désigne une famille de processeurs Intel (8086, 80186, 80286, 80386, etc.) partageant un jeu d'instructions compatible. Au fil du temps, et notamment depuis le légendaire 80386, son usage s'est généralisé pour désigner les architectures 32 bits compatibles avec ce jeu d'instructions . Aujourd'hui, « x86 » signifie presque toujours « 32 bits ».

Cette convention d'appellation se retrouve dans Windows, notamment dans le dossier « Program Files (x86) » , qui indique clairement qu'il s'agit du répertoire réservé aux logiciels 32 bits . À l'inverse, le dossier « Program Files » sans suffixe est associé aux applications 64 bits.

System32, SysWOW64 et le Registre Windows

La coexistence d'applications 32 bits et 64 bits affecte non seulement les dossiers de fichiers, mais aussi le Registre Windows lui-même . De même qu'il existe des chemins d'accès distincts pour les binaires 32 bits et 64 bits, des clés différentes permettent de conserver une configuration distincte pour chaque type d'application.

Dans les systèmes 32 bits (x86) , les entrées de désinstallation des programmes sont généralement stockées dans la clé :

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Uninstall

Sur les systèmes 64 bits (x64) , Windows introduit un nœud supplémentaire sous Wow6432Node pour gérer les programmes 32 bits exécutés sous WOW64. Dans ce cas, la procédure habituelle pour désinstaller des applications 32 bits est la suivante :

HKEY_LOCAL_MACHINE \ SOFTWARE \ Wow6432Node \ Microsoft \ Windows \ CurrentVersion \ Désinstaller

Ainsi, le système maintient les configurations et références 32 bits et 64 bits distinctes , empêchant une application d'interférer facilement avec une autre en partageant simplement un nom de clé ou de valeur. Ceci est particulièrement important pour les programmes d'installation, les outils de mise à jour et les outils de maintenance à distance qui doivent identifier la version d'un programme installée. Si vous devez forcer une désinstallation ou supprimer des entrées de registre problématiques, des guides spécifiques expliquent comment procéder correctement.

SysWOW64 est-il un virus ou puis-je simplement le supprimer ?

L'une des craintes les plus répandues est que le dossier SysWOW64 soit un virus ou un élément dangereux, car il occupe beaucoup d'espace, apparaît dans le Gestionnaire des tâches et est difficile à supprimer . En réalité, SysWOW64 est un dossier système légitime, indispensable au fonctionnement de Windows 64 bits.

En temps normal, SysWOW64 stocke les fichiers .dll et .exe 32 bits nécessaires aux programmes exécutés sous WOW64. Il peut occuper plusieurs gigaoctets, et certains utilisateurs ont même signalé des tailles avoisinant les 40 Go , notamment sur les systèmes anciens comportant de nombreuses applications installées. Cela peut contribuer au ralentissement de votre ordinateur ou à la saturation de votre espace disque ; pour récupérer de l'espace, vous pouvez consulter les instructions relatives à la suppression des applications inutiles sous Windows 11, mais cela ne signifie pas nécessairement que SysWOW64 est nuisible.

Il arrive que les développeurs de logiciels malveillants exploitent le nom SysWOW64 pour dissimuler leurs créations. Autrement dit, ils ne modifient pas le dossier système d'origine, mais créent des fichiers ou des processus aux noms très similaires afin d'échapper à la détection. De cette manière, un utilisateur non averti peut confondre un cheval de Troie avec un composant système légitime.

Si vous soupçonnez un problème, il est conseillé d'analyser votre système avec un antivirus ou un logiciel anti-espion performant et à jour, et d'effectuer une analyse complète. Des outils comme Malwarebytes et d'autres solutions de sécurité reconnues peuvent détecter les processus malveillants qui tentent de se dissimuler en utilisant de faux noms de fichiers système.

Si une analyse complète par un logiciel de sécurité ne détecte aucune menace associée à SysWOW64, il est inutile de tenter de supprimer ce dossier. En effet, la suppression manuelle de SysWOW64 peut rendre Windows inutilisable ou provoquer de graves erreurs lors de l'exécution d'applications 32 bits.

Comment déterminer si le SysWOW64 que vous voyez est légitime ou malveillant ?

Même si le répertoire C:\Windows\SysWOW64 est légitime, rien n'empêche un logiciel malveillant d'utiliser le même nom, ou un nom très similaire, ailleurs, ou de s'enregistrer comme processus en arrière-plan pour consommer excessivement le processeur et la mémoire . Il s'agit d'une technique courante, notamment chez les chevaux de Troie et les mineurs de cryptomonnaie.

Un signe évident de dysfonctionnement est un ralentissement extrême de l'ordinateur, une surchauffe du ventilateur sans raison apparente ou une utilisation du processeur dépassant constamment les 80-90 %. Si vous observez dans le Gestionnaire des tâches des processus dont le nom est lié à SysWOW64 et qui consomment des ressources de manière disproportionnée, il est conseillé d'enquêter.

À ce stade, vous pouvez cliquer avec le bouton droit sur le processus et choisir « Ouvrir l'emplacement du fichier ». Si le fichier exécutable ne se trouve pas dans le chemin système habituel ou s'il se trouve dans un dossier suspect dans AppData, Temp ou un autre emplacement inhabituel, il s'agit très probablement d' un logiciel malveillant déguisé se faisant passer pour un composant Windows.

Outre l'analyse manuelle, une analyse complète avec une suite de sécurité est essentielle . De nombreux chevaux de Troie sont distribués par courriel contenant des pièces jointes infectées, des téléchargements piratés, des cracks, des générateurs de clés ou des publicités malveillantes qui redirigent les utilisateurs vers des sites web compromis. Une fois le fichier exécuté, le logiciel malveillant se télécharge discrètement, crée des processus persistants et peut utiliser des noms légitimes pour tromper l'utilisateur.

Si votre outil de sécurité détecte un fichier malveillant nommé SysWOW64 ou un nom similaire, laissez votre antivirus supprimer ou mettre en quarantaine les composants infectés. Il est important de ne pas toucher au dossier d'origine C:\Windows\SysWOW64 si l'analyse indique qu'il est sain.

Étapes avancées du traitement des infections liées à SysWOW64

Dans les situations plus graves, notamment face à des rançongiciels, des chevaux de Troie persistants ou des mineurs de cryptomonnaie , un nettoyage système plus approfondi peut s'avérer nécessaire. Toutefois, toute manipulation manuelle des fichiers système comporte des risques et n'est recommandée qu'aux utilisateurs expérimentés.

Une technique courante consiste à redémarrer l'ordinateur en mode sans échec avec prise en charge réseau . Dans cet environnement réduit, Windows ne charge que les services essentiels, ce qui complique l'exécution ou le rechargement au démarrage de nombreux logiciels malveillants. Il est alors plus facile de localiser et de supprimer les processus suspects.

Sous Windows 7, Vista ou XP, redémarrez votre ordinateur et appuyez plusieurs fois sur des touches comme F8 (ou d'autres, selon la carte mère) jusqu'à accéder aux options de démarrage avancées , où le mode sans échec avec prise en charge réseau est disponible. Sous Windows 8 et Windows 10 , ouvrez les Paramètres, accédez à Mise à jour et sécurité , puis à la section Récupération et utilisez l'option de démarrage avancée pour accéder aux options de démarrage, notamment le mode sans échec.

Une fois en mode sans échec, vous pouvez utiliser le Gestionnaire des tâches pour examiner les processus en arrière-plan, repérer ceux qui semblent suspects, accéder à leur emplacement sur le disque et, une fois le processus terminé, supprimer les fichiers associés . Il est conseillé de compléter cette opération par une analyse complète du système à l'aide d'un logiciel anti-malware.

Il est également utile de vérifier les programmes qui se lancent au démarrage depuis l'onglet « Démarrage » du Gestionnaire des tâches et de désactiver les éléments suspects. De plus, vous pouvez utiliser l'outil Nettoyage de disque de Windows pour supprimer les fichiers temporaires, les téléchargements inutiles et autres traces que certains logiciels malveillants utilisent pour se dissimuler.

Bonnes pratiques de sécurité et de sauvegarde

Bien que SysWOW64 soit un composant légitime, les logiciels malveillants qui exploitent son nom peuvent ouvrir la voie à des attaques bien plus complexes , comme les rançongiciels qui chiffrent vos fichiers ou les chevaux de Troie qui dérobent des informations sensibles. C'est pourquoi il est essentiel de combiner plusieurs mesures préventives.

Il est tout d'abord conseillé de maintenir à jour votre logiciel antivirus ou anti-malware afin qu'il puisse détecter les menaces les plus récentes. Il est également important d'examiner attentivement les courriels que vous recevez, d'éviter d'ouvrir les pièces jointes provenant de sources douteuses et de se méfier des liens raccourcis, des offres trop belles pour être vraies et des téléchargements de logiciels non officiels.

Une autre mesure de protection essentielle consiste à sauvegarder régulièrement vos données importantes. Si un rançongiciel parvient à chiffrer vos documents, photos ou projets, disposer d'une sauvegarde récente peut faire toute la différence entre tout récupérer et subir une perte irréversible.

Dans les environnements où la confidentialité est primordiale, il est judicieux d'utiliser un VPN fiable pour empêcher certains types de suivi et protéger votre connexion contre les attaques sur les réseaux publics. Bien que cela ne protège pas directement contre SysWOW64 ou ses imitateurs, cela contribue à améliorer la sécurité globale du système.

En combinant de bonnes pratiques de navigation, un système à jour, un logiciel de sécurité fiable et des habitudes responsables concernant les fichiers que vous téléchargez , vous réduisez considérablement la probabilité qu'un logiciel malveillant se dissimule sous des noms comme SysWOW64 sans que vous vous en aperceviez.

Le dossier SysWOW64 et la technologie WOW64 sont essentiels au bon fonctionnement des applications 32 bits sous Windows 64 bits. Ils s'appuient sur des chemins d'accès spécifiques tels que SysWOW64, System32 et Program Files (x86), ainsi que sur des clés de registre distinctes. Bien que certains virus exploitent ces noms pour se dissimuler, il est impératif de ne jamais supprimer le dossier d'origine. L'essentiel est de combiner analyse de sécurité, bon sens et sauvegardes régulières afin de garantir la stabilité, la rapidité et la sécurité de votre système, sans compromettre la compatibilité avec vos logiciels existants.

Article connexe:

Comment forcer la désinstallation d'un programme et nettoyer le registre sous Windows