Mik azok a WOW64 és SysWOW64 mappák, és mire használják őket Windows rendszerben?

Informatec Digital » Erőforrás » Mik azok a WOW64 és SysWOW64 mappák, és mire használják őket Windows rendszerben?

Ha valaha is megnyitottad a Windows Feladatkezelőt, mert a számítógéped a szokásosnál lassabban futott, valószínűleg találkoztál már furcsa folyamatokkal, amelyek a SysWOW64-re vagy a titokzatos C:\Windows\SysWOW64 mappára hivatkoznak . Néha úgy tűnik, hogy sok memóriát használnak, nem tudod befejezni a feladatot, és persze megszólalnak a vészharangok: "Mi van, ha ez egy vírus?"

Továbbá, amikor megpróbáljuk megtalálni a fájl helyét a Feladatkezelőben, azt tapasztaljuk, hogy a mappa több száz .dll és .exe fájlt tartalmaz , amelyek mérete könnyen elérheti a több gigabájtot. Ráadásul a Windows nem engedi törölni, mint bármely más mappát. Érthető, hogy ez riasztó lehet, de először is tudnunk kell, hogy a SysWOW64 alapértelmezés szerint nem vírus , hanem az operációs rendszer kritikus része.

Mik azok a WOW64, SysWOW64, és miért léteznek ezek a furcsa mappák?

A modern Microsoft rendszerekben a Windows 64 bites verziói kompatibilisek mind a 64 bites alkalmazásokkal, mind a régebbi 32 bites programokkal. Ennek eléréséhez a Windows integrálja a WOW64 (Windows on Windows 64) nevű technológiát , amely egyfajta "fordítóként" működik a 32 bites alkalmazások és a 64 bites operációs rendszer között.

Ez a WOW64 komponens egy kompatibilitási réteget biztosít , amely lehetővé teszi egy 32 bites program számára, hogy azt higgye, egy normál 32 bites Windows rendszeren fut, annak ellenére, hogy valójában egy 64 bites rendszeren fut. Ennek eléréséhez a rendszer fájl- és beállításjegyzék-átirányítás , valamint egy olyan könyvtárkészlet kombinációját használja, amely a 32 bites és 64 bites rendszerek közötti fordítást és kontextusváltást kezeli.

A SysWOW64 mappa ennek a mechanizmusnak a része . Egy 64 bites Windows rendszeren két fő rendszerkönyvtár található: C:\Windows\System32 és C:\Windows\SysWOW64 . A névvel ellentétben a System32 tartalmazza a 64 bites könyvtárakat és végrehajtható fájlokat, míg a SysWOW64 a régebbi programokhoz szükséges 32 bites verziókat tárolja.

Ez a látszólag ellentmondásos felépítés a régebbi szoftverekkel való kompatibilitásból ered . Sok fejlesztő fixen beépítette a kódjába a C:\Windows\System32 elérési utat , feltételezve, hogy ez a mappa mindig a rendszerkönyvtárakat fogja tartalmazni. Annak érdekében, hogy elkerülje a szoftver meghibásodását a 64 bites verzióra való áttéréskor, a Microsoft úgy döntött, hogy a System32 marad a rendszer "fő" könyvtára, amely most a 64 bites bináris fájlokat tartalmazza, és létrehozta a SysWOW64-et a 32 bitesek tárolására.

Röviden, a WOW64 és a SysWOW64 lehetővé teszi a régebbi 32 bites alkalmazások változatlan futtatását 64 bites környezetben, az architektúrabeli különbségeket transzparens módon kezelve a felhasználó számára.

A 32 bites és a 64 bites Windows közötti különbségek: RAM, programok és kompatibilitás

Sok éven át a lakosság számára értékesített számítógépek többsége 32 bites architektúrát és a Windows 32 bites verzióit használta. Ezekben a rendszerekben a használható RAM gyakorlati korlátja általában 3 és 4 GB között van , mivel a címtartomány egy része a grafikus kártya és más eszközök számára van fenntartva.

A megfizethető 64 bites processzorok és operációs rendszerek, mint például a Windows 7 és az újabb verziók megjelenésével a piac hatalmas ugrást tett a 64 bites architektúra felé. Egy 64 bites Windows rendszer lényegesen nagyobb mennyiségű memóriát képes kezelni, egyes kiadásokban akár több tíz vagy akár több száz gigabájt RAM-ot is elérve , ami megnyitja az utat az igényesebb alkalmazások és a jobb teljesítmény előtt, különösen professzionális környezetben.

Egy 64 bites rendszeren natív 64 bites programokat , és a WOW64-nek köszönhetően klasszikus 32 bites alkalmazásokat is futtathatsz . A WOW64 emulátor biztosítja, hogy a 32 bites program továbbra is a 32 bites Windows rendszerhez hasonló környezetet lásson, saját könyvtárakkal és rendszerútvonalakkal , annak ellenére, hogy a motorháztető alatt minden másképp működik.

A legtöbb 32 bites programnak nem kell tudnia, hogy valójában 32 bites vagy 64 bites rendszeren fut-e. Csak nagyon speciális esetekben, amikor a szoftvernek különbséget kell tennie az architektúrák között, fordulhat speciális Windows API-khoz ennek kiderítésére. Az átlagfelhasználó számára a lényeg az, hogy általában semmi különöset nem kell tenni : a rendszer automatikusan kezeli.

Van azonban néhány fontos kivétel . Bizonyos nagyon alacsony szintű alkalmazások, mint például számos régebbi víruskereső program, illesztőprogram vagy biztonsági eszköz, amelyek közvetlenül a kernellel kommunikálnak, bizonyos 64 bites verziókat igényelnek a 64 bites Windows rendszeren való megfelelő működéshez. Ezekben az esetekben a 32 bites verzió esetleg nem kompatibilis, vagy jelentősen korlátozott lehet.

System32, SysWOW64 és Program Files mappák: mit tartalmaznak mindegyik?

Amikor 64 bites Windowst telepít egy kompatibilis számítógépre, számos rendszer- és programmappa jelenik meg , ami elsőre zavaró lehet. Lemezszinten a főbb elérési utak, amelyeket ismernie kell, a következők:

• C: \ Windows \ System32: Windows rendszermappa, amely 64 bites rendszeren a következőket tárolja: 64 bites bináris fájlok (végrehajtható fájlok és DLL-ek).
• C: \ Windows \ SysWOW64: a rendszer számára fenntartott mappa 32 bites fájlok amelyek 32 bites alkalmazásokat használnak WOW64 alatt.
• C:\Program Files (o C: \ Program Files): erre a célra szánt könyvtár 64 bites programok és a hozzá tartozó fájlok.
• C:\Program Files (x86) (o C: \ Program Files (x86)): mappa, ahol a 32 bites programok egy 64 bites Windows rendszeren.

A legrejtélyesebb részlet az, hogy a System32 mappa 64 bites kódot tartalmaz , míg a SysWOW64 tele van 32 bites fájlokkal. Ez pontosan az ellenkezője annak, amit a nevek alapján várnánk. Ennek az az oka, hogy fenntartsák a kompatibilitást a régebbi szoftverekkel , amelyek a System32-ben várják a rendszererőforrások megtalálását.

A gyakorlatban a Windows transzparens módon átirányítja a lemezhívásokat. Amikor egy 32 bites alkalmazás megpróbálja elérni a C:\Windows\System32 könyvtárat, a WOW64 alrendszer átirányítja ezt a kérést a C:\Windows\SysWOW64 könyvtárba, így a program betölti a megfelelő 32 bites könyvtárakat anélkül, hogy észrevenné a trükköt.

A programmappákkal kapcsolatban is valami hasonló történik. A 64 bites alkalmazások alapértelmezés szerint a Program Files mappába települnek , míg a 32 bites alkalmazások a Program Files (x86) mappába . Egy jól megtervezett telepítő felismeri a rendszerarchitektúrát, és minden bináris fájlt a megfelelő mappába helyez az ütközések elkerülése érdekében.

Bár egy program néha akkor is működhet, ha a „rossz” mappába helyezi, mindig a legjobb tiszteletben tartani ezt a struktúrát . Ha egy alkalmazás a „Program Files” elérési utat kéri a Windowstól, és Ön rossz helyre telepítette, akkor előfordulhat, hogy a támogatási fájlokat a rossz könyvtárban keresi, és nehezen diagnosztizálható módon hibát jelez.

Mit jelentenek a WOW64 és az x86: egy kis történelem

A WOW64 kifejezés a „Windows on Windows 64” kifejezésből származik, ami a „64 bites Windowsra épülő 32 bites Windows” kifejezést jelenti. Ez az az összetevő, amely lehetővé teszi a 32 bites alkalmazások 64 bites operációs rendszeren történő futtatását anélkül, hogy bármilyen speciális felhasználói beavatkozásra lenne szükség. Ezt egy kompatibilitási réteg biztosításával éri el, amely lefordítja a hívásokat a két operációs rendszer között.

A WOW64 feladata elvégzéséhez számos nagyon specifikus dinamikus csatolású könyvtárra (DLL) támaszkodik:

• wow64.dll: fő interfészként működik, a 32 bites hívásokat 64 bites megfelelőjükre fordítja.
• wow64win.dll: megadja azokat a belépési pontokat, amelyeket az alkalmazások a 64 bites alrendszerrel való interakcióhoz használnak.
• wow64cpu.dll: Felelős a processzor 32 és 64 bit közötti végrehajtási módváltásának kezeléséért.

Másrészről az x86 kifejezés az Intel processzorok egy családjára (8086, 80186, 80286, 80386 stb.) utal, amelyek kompatibilis utasításkészletet használtak. Idővel, és különösen a legendás 80386 óta, a használata széles körben elterjedt, és általában a 32 bites architektúrákra utal, amelyek kompatibilisek az adott utasításkészlettel . Manapság, amikor az "x86"-ot látjuk, az szinte mindig "32 bites"-t jelent.

Ez az elnevezési konvenció a Windowsban a Program Files (x86) mappában tükröződik , ami egyértelműen jelzi, hogy ez a 32 bites szoftverek számára fenntartott könyvtár . Ezzel szemben a Program Files mappa utótag nélkül a 64 bites alkalmazásokhoz tartozik.

System32, SysWOW64 és a Windows rendszerleíró adatbázis

A 32 bites és 64 bites alkalmazások együttes létezése nemcsak a fájlmappákat, hanem magát a Windows rendszerleíró adatbázist is érinti . Ahogyan a 32 bites és a 64 bites bináris fájlokhoz külön elérési utak tartoznak, úgy az egyes alkalmazástípusok konfigurációjának elkülönítésére is különböző kulcsok szolgálnak.

32 bites (x86) rendszerekben a program eltávolítási bejegyzései általában a következő kulcsban tárolódnak:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Uninstall

64 bites (x64) rendszereken a Windows egy további csomópontot vezet be a Wow6432Node alatt a WOW64 alatt futó 32 bites programok kezelésére. Ebben az esetben a 32 bites alkalmazások eltávolításának tipikus útvonala a következő lenne:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall

Ily módon a rendszer elkülönítve tartja a 32 bites és a 64 bites konfigurációkat és hivatkozásokat , megakadályozva, hogy az egyik alkalmazás könnyen zavarja a másikat pusztán egy kulcs vagy érték nevének megosztásával. Ez különösen fontos a telepítők, frissítők és távoli karbantartó eszközök számára, amelyeknek meg kell különböztetniük a program telepített verzióját. Ha kényszerítenie kell az eltávolítást, vagy törölnie kell a problémás beállításjegyzék-bejegyzéseket, vannak olyan útmutatók, amelyek elmagyarázzák, hogyan kell ezt helyesen csinálni.

A SysWOW64 vírus, vagy csak törölni kell?

Az egyik leggyakoribb félelem, hogy a SysWOW64 mappa vírus vagy valami veszélyes dolog, mert sok helyet foglal, megjelenik a Feladatkezelőben, és nehezen törölhető . A valóság az, hogy a SysWOW64 egy legitim rendszermappa, amely elengedhetetlen a 64 bites Windows működéséhez.

Normál körülmények között a SysWOW64 a WOW64 alatt futó programok által igényelt 32 bites .dll és .exe fájlokat tárolja . Ez több gigabájtot is elfoglalhat, egyes felhasználók pedig akár 40 GB-ot is megközelítő méretről számoltak be , különösen régebbi rendszereken, amelyekre sok telepített alkalmazás van telepítve. Ez hozzájárulhat a számítógép lelassulásához vagy a lemezterület elfogyásához; a hely felszabadításához tekintse meg a Windows 11 rendszerben a felesleges alkalmazások eltávolításával kapcsolatos utasításokat , de ez nem feltétlenül jelenti azt, hogy káros.

Előfordulhat, hogy a rosszindulatú programok fejlesztői a SysWOW64 nevet használják ki alkotásaik elrejtésére. Más szóval, nem manipulálják az eredeti rendszermappát, hanem nagyon hasonló nevű fájlokat vagy folyamatokat hoznak létre, hogy elkerüljék az észlelést. Így egy gyanútlan felhasználó összetévesztheti a trójai vírust egy legitim rendszerösszetevővel.

Ha gyanítod, hogy valami nincs rendben, ajánlott egy jó, naprakész víruskereső vagy kémprogram-elhárító programmal átvizsgálni a rendszert , és teljes vizsgálatot végrehajtani. Az olyan eszközök, mint a Malwarebytes és más ismert biztonsági termékek, képesek észlelni a rosszindulatú folyamatokat, amelyek megpróbálják rendszerfájlnevekkel álcázni magukat.

Ha a biztonsági szoftver teljes körű vizsgálata nem észlel a SysWOW64-hez kapcsolódó fenyegetéseket, akkor nincs értelme megpróbálni törölni a mappát. Valójában a SysWOW64 manuális törlése használhatatlanná teheti a Windows rendszert , vagy súlyos hibákat okozhat a 32 bites alkalmazások futtatásakor.

Hogyan állapítható meg, hogy a látott SysWOW64 legitim vagy rosszindulatú-e

Még ha a C:\Windows\SysWOW64 könyvtár legitim is, semmi sem akadályozza meg a rosszindulatú szoftvereket abban, hogy ugyanazt vagy nagyon hasonló nevet használják egy másik helyen, vagy hogy háttérfolyamatként regisztráljanak, és túlzottan lefoglalják a CPU-t és a memóriát . Ez egy gyakori technika, különösen a trójaiak és a kriptovaluta-bányászok körében.

Egyértelmű jele annak, hogy valami nincs rendben, ha a számítógép rendkívül lassan kezd működni, a ventilátor látható ok nélkül felpörög, vagy a CPU-használat folyamatosan 80-90% fölé emelkedik . Ha a Feladatkezelőben olyan folyamatokat látsz, amelyek nevei a SysWOW64-hez kapcsolódnak, és aránytalanul nagy az erőforrás-fogyasztásuk, érdemes kivizsgálni a problémát.

Ezen a ponton jobb gombbal kattinthat a folyamatra, és kiválaszthatja a „Fájl megnyitása ” lehetőséget. Ha a végrehajtható fájl nem a szokásos rendszerútvonalon található, vagy egy gyanús mappában található az AppData, a Temp vagy más szokatlan helyen, akkor nagy valószínűséggel egy álcázott kártevőről van szó, amely Windows-összetevőnek álcázza magát.

A manuális vizsgálat mellett elengedhetetlen egy teljes körű vizsgálat egy biztonsági csomaggal . Sok trójai vírus fertőzött mellékleteket tartalmazó e-mailekben, kalóz letöltésekben, feltörésekben, keygenekben vagy rosszindulatú hirdetésekben terjed, amelyek feltört webhelyekre irányítják át a felhasználókat. A fájl végrehajtása után a rosszindulatú program csendben letölti magát, állandó folyamatokat hoz létre, és legitim nevek használatával megtévesztheti a felhasználót.

Ha a biztonsági eszköz egy SysWOW64 vagy hasonló nevű rosszindulatú fájlt észlel, bízza a víruskereső szoftverre a fertőzött összetevők eltávolítását vagy karanténba helyezését. Fontos, hogy ne érintse meg az eredeti C:\Windows\SysWOW64 mappát, ha a vizsgálat azt mutatja, hogy tiszta.

A SysWOW64-hez kapcsolódó fertőzések kezelésének speciális lépései

Súlyosabb helyzetekben, különösen zsarolóvírusok, makacs trójai programok vagy kriptovaluta-bányászok esetén , alaposabb rendszertisztításra lehet szükség. A rendszerfájlok bármilyen kézi módosítása azonban kockázatokkal jár, és csak tapasztalt felhasználóknak ajánlott.

Egy gyakori módszer a számítógép újraindítása csökkentett módban hálózattal . Ebben a csökkentett környezetben a Windows csak a legfontosabb szolgáltatásokat tölti be, ami megnehezíti számos rosszindulatú program futtatását vagy újratöltését indításkor. Innen könnyebb megtalálni és törölni a gyanús folyamatokat.

Windows 7, Vista vagy XP rendszerben ehhez újraindíthatja a számítógépet, és ismételten megnyomhatja az F8 billentyűt (vagy más billentyűket, az alaplaptól függően), amíg el nem éri a Speciális indítási beállításokat , ahol elérhető a Csökkentett mód hálózattal. Windows 8 és Windows 10 rendszerben az eljárás a következőket foglalja magában: nyissa meg a Beállításokat, lépjen a Frissítés és biztonság menüpontra , lépjen a Helyreállítás szakaszba , és a speciális indítási beállítások használatával érje el a rendszerindítási beállításokat, beleértve a Csökkentett módot is.

Biztonsági módban a Feladatkezelő segítségével áttekintheti a háttérfolyamatokat, megkeresheti a gyanúsnak tűnő fájlokat, megnyithatja a lemezükön található helyüket, és a feladat befejezése után törölheti a kapcsolódó fájlokat . Ezt a folyamatot egy teljes rendszerellenőrzéssel kell kiegészíteni egy kártevőirtó eszközzel.

Hasznos lehet a Feladatkezelő „Indítás” lapján áttekinteni az indításkor futó programokat , és letiltani a gyanús bejegyzéseket. Ezenkívül futtathatja a Windows Lemezkarbantartót az ideiglenes fájlok, a felesleges letöltések és egyéb maradványok törléséhez, amelyeket egyes rosszindulatú programok rejtőzködésre használnak.

Jó biztonsági és biztonsági mentési gyakorlatok

Bár a SysWOW64 egy legitim összetevő, a nevét kihasználó rosszindulatú programok sokkal összetettebb támadások kapuját nyithatják meg , például a fájlokat titkosító zsarolóvírusok vagy az érzékeny információkat ellopó trójai programok előtt. Ezért kulcsfontosságú több megelőző intézkedés kombinálása.

Először is, mindig ajánlott naprakészen tartani a víruskereső vagy kártevőirtó szoftvert , amely képes a legújabb fenyegetések észlelésére. De az is fontos, hogy kritikusan áttekintsük a kapott e-maileket, kerüljük a kétes forrásokból származó mellékletek megnyitását, és legyünk óvatosak a rövidített linkekkel, a túl szépnek tűnő ajánlatokkal és a nem hivatalos szoftverek letöltésével.

Egy másik fontos védelmi réteg a fontos adatok rendszeres biztonsági mentése . Ha a zsarolóvírusnak sikerül titkosítania a dokumentumait, fényképeit vagy projektjeit, egy friss biztonsági mentés jelentheti a különbséget aközött, hogy mindent visszaállítunk, vagy visszafordíthatatlan veszteséget szenvedünk el.

Azokban a környezetekben, ahol az adatvédelem kulcsfontosságú tényező, érdemes megbízható VPN-eket használni bizonyos típusú követés megakadályozására és a nyilvános hálózatokon lévő támadások elleni védelemre. Bár ez nem véd közvetlenül a SysWOW64 vagy annak utánzói ellen, hozzájárul a rendszer általános biztonságának javításához.

Ha a letöltött fájlokat a helyes böngészési gyakorlatok, a naprakész rendszer, a megbízható biztonsági szoftverek és a felelősségteljes szokások kombinációjával használod , jelentősen csökkentheted annak valószínűségét, hogy a rosszindulatú programok észrevétlenül SysWOW64 néven álcázzák magukat.

A SysWOW64 mappa és a WOW64 technológia kulcsfontosságú összetevők, amelyek lehetővé teszik a 64 bites Windows számára a 32 bites alkalmazások normál futtatását speciális elérési utakon, például a SysWOW64, a System32 és a Program Files (x86), valamint különálló beállításkulcsokon keresztül. Bár egyes vírusok ezeket a neveket használják ki az elrejtéshez, az eredeti mappát soha nem szabad törölni. Ami igazán fontos, az a biztonsági elemzés, a józan ész és a biztonsági mentések ötvözése, hogy a rendszer stabil, gyors és fenyegetésmentes maradjon anélkül, hogy feláldozná a meglévő szoftverekkel való kompatibilitást.

Kapcsolódó cikk:

Hogyan lehet kényszeríteni a program eltávolítását és megtisztítani a rendszerleíró adatbázist Windows rendszerben