Cosa sono le cartelle WOW64 e SysWOW64 e a cosa servono in Windows?

Informatec Digital » Risorse » Cosa sono le cartelle WOW64 e SysWOW64 e a cosa servono in Windows?

Se vi è mai capitato di aprire Gestione attività di Windows perché il vostro computer era più lento del solito, probabilmente vi sarete imbattuti in strani processi che fanno riferimento a SysWOW64 o alla misteriosa cartella C:\Windows\SysWOW64 . A volte sembrano addirittura consumare molta memoria, non è possibile terminare il processo e, ovviamente, scatta il campanello d'allarme: "E se fosse un virus?".

Inoltre, quando si tenta di accedere alla posizione del file tramite Gestione attività, si scopre che la cartella contiene centinaia di file .dll e .exe , raggiungendo facilmente diversi gigabyte di dimensione. Come se non bastasse, Windows non consente di eliminarla come una normale cartella. È comprensibile che questo possa destare preoccupazione, ma la prima cosa da sapere è che SysWOW64 non è, di per sé, un virus , bensì una parte fondamentale del sistema operativo.

Cosa sono WOW64, SysWOW64 e perché esistono queste strane cartelle?

Nei moderni sistemi Microsoft, le versioni a 64 bit di Windows sono progettate per essere compatibili sia con le applicazioni a 64 bit che con i programmi a 32 bit più datati. Per raggiungere questo obiettivo, Windows integra una tecnologia chiamata WOW64 (Windows on Windows 64) , che funge da una sorta di "traduttore" tra le applicazioni a 32 bit e il sistema operativo a 64 bit.

Questo componente WOW64 fornisce un livello di compatibilità che permette a un programma a 32 bit di credere di essere in esecuzione su un normale sistema Windows a 32 bit, anche se in realtà è in esecuzione su un sistema a 64 bit. Per ottenere questo risultato, il sistema utilizza una combinazione di reindirizzamento di file e registro di sistema e un insieme di librerie che gestiscono la traduzione e il cambio di contesto tra sistemi a 32 e 64 bit.

La cartella SysWOW64 fa parte di questo meccanismo . Su un sistema Windows a 64 bit, si trovano due directory di sistema principali: C:\Windows\System32 e C:\Windows\SysWOW64 . Nonostante il nome, System32 contiene le librerie e gli eseguibili a 64 bit, mentre SysWOW64 memorizza le versioni a 32 bit necessarie per i programmi più vecchi.

Questa organizzazione apparentemente contraddittoria deriva da una questione di compatibilità con i software preesistenti . Molti sviluppatori avevano inserito il percorso C:\Windows\System32 direttamente nel codice , presumendo che questa cartella contenesse sempre le librerie di sistema. Per evitare di compromettere il funzionamento di questi software durante il passaggio ai 64 bit, Microsoft ha deciso che System32 sarebbe rimasta la directory "principale" del sistema, ora contenente i file binari a 64 bit, e ha creato SysWOW64 per ospitare quelli a 32 bit.

In breve, WOW64 e SysWOW64 consentono alle vecchie applicazioni a 32 bit di funzionare senza modifiche in un ambiente a 64 bit, gestendo le differenze architetturali in modo trasparente per l'utente.

Differenze tra Windows a 32 bit e a 64 bit: RAM, programmi e compatibilità

Per molti anni, la maggior parte dei computer venduti al pubblico utilizzava architetture a 32 bit e versioni a 32 bit di Windows. In questi sistemi, il limite pratico di RAM utilizzabile è solitamente compreso tra 3 e 4 GB , poiché parte dello spazio di indirizzamento è riservato alla scheda grafica e ad altri dispositivi.

Con l'arrivo di processori e sistemi operativi a 64 bit a prezzi accessibili, come Windows 7 e versioni successive , il mercato ha compiuto un enorme passo avanti verso l'architettura a 64 bit. Un sistema Windows a 64 bit può gestire quantità di memoria significativamente maggiori, raggiungendo decine o addirittura centinaia di gigabyte di RAM in alcune edizioni , il che apre le porte ad applicazioni più esigenti e a prestazioni complessive migliori, soprattutto in ambito professionale.

Su un sistema a 64 bit, è possibile eseguire programmi nativi a 64 bit e, grazie a WOW64, anche applicazioni classiche a 32 bit. L'emulatore WOW64 garantisce che il programma a 32 bit veda un ambiente simile a quello di un sistema Windows a 32 bit, con le proprie librerie e percorsi di sistema , anche se internamente tutto funziona in modo diverso.

La maggior parte dei programmi a 32 bit non ha bisogno di sapere se sta effettivamente eseguendo un sistema a 32 o 64 bit. Solo in casi molto specifici, quando il software deve distinguere tra le architetture, potrebbe ricorrere a API di Windows specifiche per scoprirlo. Per l'utente medio, l'importante è che, in genere, non sia necessario fare nulla di particolare : il sistema lo gestisce automaticamente.

Esistono, tuttavia, alcune importanti eccezioni . Alcune applicazioni di livello molto basso, come molti programmi antivirus, driver o strumenti di sicurezza meno recenti che interagiscono direttamente con il kernel, richiedono versioni specifiche a 64 bit per funzionare correttamente su un sistema Windows a 64 bit. In questi casi, una versione a 32 bit potrebbe non essere compatibile o potrebbe presentare gravi limitazioni.

Cartelle System32, SysWOW64 e Programmi: cosa contiene ciascuna

Quando si installa Windows a 64 bit su un computer compatibile, vengono create diverse cartelle di sistema e di programma , il che può inizialmente creare confusione. A livello di disco, i percorsi principali da conoscere sono i seguenti:

• C: \ Windows \ System32: Cartella di sistema di Windows che, su un sistema a 64 bit, memorizza binari a 64 bit (eseguibili e DLL).
• C: \ Windows \ SysWOW64: cartella di sistema riservata per file a 32 bit che utilizzano applicazioni a 32 bit in WOW64.
• C:\Programmi (o C: \ Program Files): directory destinata a programmi a 64 bit e i file associati.
• C:\Programmi (x86) (o C: \ Program Files (x86)): cartella in cui si trova il programmi a 32 bit su un sistema Windows a 64 bit.

Il dettaglio più sconcertante è che la cartella System32 contiene codice a 64 bit , mentre SysWOW64 è piena di file a 32 bit. Questo è esattamente l'opposto di ciò che ci si aspetterebbe semplicemente guardando i nomi. Il motivo, come già accennato, è quello di mantenere la compatibilità con i software più vecchi che si aspettano di trovare le risorse di sistema in System32.

In pratica, Windows reindirizza in modo trasparente molte chiamate al disco. Quando un'applicazione a 32 bit tenta di accedere a C:\Windows\System32 , il sottosistema WOW64 reindirizza la richiesta a C:\Windows\SysWOW64 , in modo che il programma carichi le librerie a 32 bit appropriate senza accorgersi dell'inganno.

Per quanto riguarda le cartelle dei programmi, accade qualcosa di simile. Le applicazioni a 64 bit vengono installate di default in Programmi , mentre le applicazioni a 32 bit vanno in Programmi (x86) . Se un programma di installazione è ben progettato, rileva l'architettura del sistema e posiziona ogni file binario nella cartella corretta per evitare conflitti.

Sebbene un programma possa talvolta funzionare anche se installato nella cartella "sbagliata", è sempre meglio rispettare questa struttura . Se un'applicazione richiede a Windows il percorso della cartella "Programmi" e l'avete installata nella posizione errata, potrebbe cercare i file di supporto nella directory sbagliata e fallire in modi difficili da diagnosticare.

Cosa significano WOW64 e x86: un po' di storia

Il termine WOW64 deriva da "Windows on Windows 64", che può essere inteso come "Windows a 32 bit in esecuzione su Windows a 64 bit". Si tratta del componente che consente alle applicazioni a 32 bit di essere eseguite su un sistema operativo a 64 bit senza richiedere alcun intervento particolare da parte dell'utente. Questo risultato viene ottenuto grazie a un livello di compatibilità che traduce le chiamate tra i due sistemi operativi.

Per svolgere il suo compito, WOW64 si affida a diverse librerie di collegamento dinamico (DLL) molto specifiche :

• wow64.dll: funge da interfaccia principale, traducendo le chiamate a 32 bit nel loro equivalente a 64 bit.
• wow64win.dll: fornisce i punti di ingresso che le applicazioni utilizzano per interagire con il sottosistema a 64 bit.
• wow64cpu.dll: È responsabile della gestione del cambio della modalità di esecuzione tra 32 e 64 bit nel processore.

D'altra parte, il termine x86 si riferisce a una famiglia di processori Intel (8086, 80186, 80286, 80386, ecc.) che condividevano un set di istruzioni compatibile. Nel tempo, e soprattutto a partire dal leggendario 80386, il suo utilizzo si è diffuso per indicare in generale le architetture a 32 bit compatibili con tale set di istruzioni . Oggi, quando si vede "x86", quasi sempre significa "32 bit".

Questa convenzione di denominazione si riflette in Windows nella cartella Program Files (x86) , che indica chiaramente che si tratta della directory riservata al software a 32 bit . Al contrario, la cartella Program Files senza suffisso è associata alle applicazioni a 64 bit.

System32, SysWOW64 e il registro di Windows

La coesistenza di applicazioni a 32 e 64 bit non influisce solo sulle cartelle dei file, ma anche sul Registro di sistema di Windows stesso . Così come esistono percorsi separati per i file binari a 32 e 64 bit, esistono chiavi diverse per mantenere separata la configurazione di ciascun tipo di applicazione.

Nei sistemi a 32 bit (x86) , le voci di disinstallazione dei programmi vengono solitamente memorizzate nella chiave:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Uninstall

Sui sistemi a 64 bit (x64) , Windows introduce un nodo aggiuntivo in Wow6432Node per gestire i programmi a 32 bit in esecuzione in WOW64. In questo caso, il percorso tipico per disinstallare le applicazioni a 32 bit sarebbe:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Disinstalla

In questo modo, il sistema mantiene separate le configurazioni e i riferimenti a 32 e 64 bit , impedendo a un'applicazione di interferire facilmente con un'altra semplicemente condividendo un nome di chiave o di valore. Ciò è particolarmente importante per i programmi di installazione, aggiornamento e manutenzione remota, che devono distinguere quale versione di un programma è installata. Se è necessario forzare una disinstallazione o ripulire voci di registro problematiche, esistono guide specifiche che spiegano come farlo correttamente.

SysWOW64 è un virus o posso semplicemente eliminarlo?

Uno dei timori più comuni è che la cartella SysWOW64 sia un virus o qualcosa di pericoloso perché occupa molto spazio, compare in Gestione attività ed è difficile da eliminare . In realtà, SysWOW64 è una cartella di sistema legittima, essenziale per il funzionamento di Windows a 64 bit.

In circostanze normali, SysWOW64 memorizza i file .dll e .exe a 32 bit necessari ai programmi in esecuzione con WOW64. Può occupare diversi gigabyte e alcuni utenti hanno segnalato dimensioni che si avvicinano addirittura ai 40 GB , soprattutto su sistemi più vecchi con molte applicazioni installate. Questo può contribuire al rallentamento del computer o all'esaurimento dello spazio su disco; per recuperare spazio è possibile consultare le istruzioni su come rimuovere le applicazioni non necessarie in Windows 11, ma ciò non significa necessariamente che sia dannoso.

Può succedere che gli sviluppatori di malware sfruttino il nome SysWOW64 per camuffare le loro creazioni. In altre parole, non manipolano la cartella di sistema originale, ma creano file o processi con nomi molto simili per eludere il rilevamento. In questo modo, un utente ignaro può scambiare un Trojan per un componente di sistema legittimo.

Se sospetti che qualcosa non vada, è consigliabile eseguire una scansione completa del sistema con un buon programma antivirus o antispyware aggiornato. Strumenti come Malwarebytes e altri noti prodotti di sicurezza sono in grado di rilevare processi dannosi che tentano di mascherarsi utilizzando i nomi dei file di sistema.

Se una scansione completa effettuata da un software di sicurezza non rileva alcuna minaccia associata a SysWOW64, non ha senso tentare di eliminare la cartella. Anzi, l'eliminazione manuale di SysWOW64 può rendere Windows inutilizzabile o causare gravi errori durante l'esecuzione di applicazioni a 32 bit.

Come capire se il SysWOW64 che vedi è legittimo o un malware

Anche se la directory C:\Windows\SysWOW64 è legittima, nulla impedisce a un software dannoso di utilizzare lo stesso nome o un nome molto simile in un'altra posizione, oppure di registrarsi come processo in background per consumare eccessivamente CPU e memoria . Questa è una tecnica comune, soprattutto tra i Trojan e i cryptominer.

Un chiaro segnale che qualcosa non va è notare che il computer inizia a funzionare estremamente lentamente, la ventola si attiva senza motivo apparente o l'utilizzo della CPU raggiunge costantemente picchi superiori all'80-90%. Se in Gestione attività si notano processi con nomi correlati a SysWOW64 e un consumo sproporzionato di risorse, vale la pena indagare.

A quel punto, puoi fare clic con il pulsante destro del mouse sul processo e scegliere "Apri percorso file ". Se il file eseguibile non si trova nel percorso di sistema usuale o si trova in una cartella sospetta all'interno di AppData, Temp o un'altra posizione insolita, è molto probabile che si tratti di un malware camuffato da componente di Windows.

Oltre alla scansione manuale, è essenziale una scansione completa con una suite di sicurezza . Molti Trojan vengono distribuiti tramite e-mail con allegati infetti, download pirata, crack, keygen o annunci dannosi che reindirizzano gli utenti a siti web compromessi. Una volta eseguito il file, il malware si scarica silenziosamente, crea processi persistenti e può utilizzare nomi legittimi per ingannare l'utente.

Se il tuo strumento di sicurezza rileva un file dannoso denominato SysWOW64 o qualcosa di simile, dovresti lasciare che il software antivirus si occupi della rimozione o della quarantena dei componenti infetti. È importante non modificare la cartella C:\Windows\SysWOW64 originale se la scansione indica che è pulita.

Passaggi avanzati per il trattamento delle infezioni correlate a SysWOW64

In situazioni più gravi, soprattutto in presenza di ransomware, trojan persistenti o software per il mining di criptovalute , potrebbe essere necessaria una pulizia del sistema più approfondita. Tuttavia, qualsiasi manipolazione manuale dei file di sistema comporta rischi intrinseci ed è consigliata solo a utenti esperti.

Una tecnica comune consiste nel riavviare il computer in Modalità provvisoria con rete . In questo ambiente ridotto, Windows carica solo i servizi essenziali, rendendo difficile l'esecuzione o il ricaricamento all'avvio di molti programmi malware. In questo modo, è più facile individuare ed eliminare i processi sospetti.

Per fare ciò in Windows 7, Vista o XP, è possibile riavviare il computer e premere ripetutamente tasti come F8 (o altri, a seconda della scheda madre) fino ad accedere alle Opzioni di avvio avanzate , dove è disponibile la Modalità sicura con rete. In Windows 8 e Windows 10 , la procedura prevede di aprire Impostazioni, andare su Aggiornamento e sicurezza , accedere alla sezione Ripristino e utilizzare le opzioni di avvio avanzate per accedere alle opzioni di avvio, inclusa la Modalità sicura.

Una volta avviata la modalità sicura, è possibile utilizzare Gestione attività per esaminare i processi in background, individuare quelli sospetti, aprire la posizione del disco in cui vengono salvati e, al termine dell'attività, eliminare i file associati . Questa procedura dovrebbe essere integrata da una scansione completa del sistema utilizzando un programma antimalware.

È inoltre utile esaminare i programmi che si avviano all'avvio del sistema dalla scheda "Avvio" di Gestione attività, disabilitando eventuali voci sospette. In aggiunta, è possibile eseguire Pulizia disco di Windows per eliminare file temporanei, download non necessari e altri residui che alcuni malware utilizzano per nascondersi.

Buone pratiche di sicurezza e backup

Sebbene SysWOW64 sia un componente legittimo, i malware che ne sfruttano il nome possono aprire la porta ad attacchi molto più complessi , come i ransomware che crittografano i file o i Trojan che rubano informazioni sensibili. Per questo motivo, è fondamentale combinare diverse misure preventive.

Innanzitutto, è sempre consigliabile mantenere aggiornato il proprio software antivirus o antimalware , in grado di rilevare le minacce più recenti. Ma è altrettanto importante esaminare criticamente le email ricevute, evitare di aprire allegati provenienti da fonti dubbie e diffidare di link abbreviati, offerte che sembrano troppo belle per essere vere e download di software non ufficiali.

Un altro livello di protezione fondamentale è quello di eseguire regolarmente il backup dei dati importanti. Se un ransomware riesce a crittografare documenti, foto o progetti, avere un backup recente può fare la differenza tra recuperare tutto e subire una perdita irreversibile.

Negli ambienti in cui la privacy è un fattore chiave, è opportuno considerare l'utilizzo di VPN affidabili per prevenire determinate forme di tracciamento e proteggere la connessione da attacchi su reti pubbliche. Sebbene ciò non protegga direttamente da SysWOW64 o dai suoi imitatori, contribuisce a migliorare la sicurezza complessiva del sistema.

Quando si combinano buone pratiche di navigazione, un sistema aggiornato, un software di sicurezza affidabile e abitudini responsabili nella scelta dei file da scaricare , si riduce notevolmente la probabilità che un malware si mascheri con nomi come SysWOW64 senza che ve ne accorgiate.

La cartella SysWOW64 e la tecnologia WOW64 sono componenti chiave che consentono a Windows a 64 bit di eseguire normalmente applicazioni a 32 bit, sfruttando percorsi speciali come SysWOW64, System32 e Program Files (x86), oltre a chiavi di registro separate. Sebbene alcuni virus sfruttino questi nomi per nascondersi, la cartella originale non dovrebbe mai essere eliminata. Ciò che conta davvero è combinare analisi della sicurezza, buon senso e backup per mantenere il sistema stabile, veloce e al riparo dalle minacce, senza compromettere la compatibilità con il software esistente.

Articolo correlato:

Come forzare la disinstallazione del programma e pulire il registro in Windows