Wat zijn de mappen WOW64 en SysWOW64 en waarvoor worden ze gebruikt in Windows?

Informatic Digital » Middelen » Wat zijn de mappen WOW64 en SysWOW64 en waarvoor worden ze gebruikt in Windows?

Als je ooit Taakbeheer van Windows hebt geopend omdat je computer trager was dan normaal, ben je waarschijnlijk vreemde processen tegengekomen die verwijzen naar SysWOW64 of de mysterieuze map C:\Windows\SysWOW64 . Soms lijken ze zelfs veel geheugen te gebruiken, kun je de taak niet beëindigen en gaan er natuurlijk alarmbellen rinkelen: "Wat als dit een virus is?"

Bovendien, wanneer je via Taakbeheer naar de locatie van het bestand probeert te navigeren, ontdek je dat de map honderden .dll- en .exe-bestanden bevat , die gemakkelijk enkele gigabytes groot kunnen worden. Erger nog, Windows laat je deze map niet verwijderen zoals elke andere map. Het is begrijpelijk dat dit verontrustend kan zijn, maar het eerste wat je moet weten is dat SysWOW64 niet per definitie een virus is , maar een essentieel onderdeel van het besturingssysteem.

Wat zijn WOW64 en SysWOW64, en waarom bestaan ​​deze vreemde mappen?

In moderne Microsoft-systemen zijn 64-bits versies van Windows ontworpen om compatibel te zijn met zowel 64-bits applicaties als oudere 32-bits programma's. Om dit te bereiken, integreert Windows een technologie genaamd WOW64 (Windows on Windows 64) , die fungeert als een soort "vertaler" tussen 32-bits applicaties en het 64-bits besturingssysteem.

Deze WOW64-component biedt een compatibiliteitslaag waarmee een 32-bits programma kan denken dat het op een normaal 32-bits Windows-systeem draait, terwijl het in werkelijkheid op een 64-bits systeem draait. Om dit te bereiken, gebruikt het systeem een ​​combinatie van bestands- en registeromleiding en een reeks bibliotheken die de vertaling en contextwisseling tussen 32-bits en 64-bits systemen afhandelen.

De map SysWOW64 maakt deel uit van dit mechanisme . Op een 64-bits Windows-systeem vindt u twee belangrijke systeemmappen: C:\Windows\System32 en C:\Windows\SysWOW64 . Ondanks de naam bevat System32 de 64-bits bibliotheken en uitvoerbare bestanden, terwijl SysWOW64 de 32-bits versies bevat die nodig zijn voor oudere programma's.

Deze ogenschijnlijk tegenstrijdige organisatie komt voort uit een kwestie van compatibiliteit met oudere software . Veel ontwikkelaars hadden het pad C:\Windows\System32 hardcoded in hun code opgenomen , ervan uitgaande dat deze map altijd de systeembibliotheken zou bevatten. Om te voorkomen dat deze software niet meer zou werken bij de overstap naar 64-bit, besloot Microsoft dat System32 de "hoofdmap" van het systeem zou blijven, nu met 64-bits binaire bestanden, en creëerde SysWOW64 voor de 32-bits bestanden.

Kortom, WOW64 en SysWOW64 maken het mogelijk om oudere 32-bits applicaties ongewijzigd te laten draaien in een 64-bits omgeving, waarbij architectuurverschillen transparant voor de gebruiker worden beheerd.

Verschillen tussen 32-bits en 64-bits Windows: RAM, programma's en compatibiliteit

Jarenlang maakten de meeste computers die aan het publiek werden verkocht gebruik van 32-bits architecturen en 32-bits versies van Windows. In deze systemen ligt de praktische limiet van bruikbaar RAM-geheugen meestal tussen de 3 en 4 GB , omdat een deel van de adresruimte is gereserveerd voor de grafische kaart en andere componenten.

Met de komst van betaalbare 64-bits processoren en besturingssystemen zoals Windows 7 en latere versies , maakte de markt een enorme sprong naar 64-bits architectuur. Een 64-bits Windows-systeem kan aanzienlijk meer geheugen aan, tot wel tientallen of zelfs honderden gigabytes RAM in sommige edities . Dit opent de deur naar veeleisendere applicaties en verbeterde algehele prestaties, met name in professionele omgevingen.

Op een 64-bits systeem kun je native 64-bits programma's uitvoeren en, dankzij WOW64, ook klassieke 32-bits applicaties. De WOW64-emulator zorgt ervoor dat het 32-bits programma een omgeving ziet die vergelijkbaar is met die van een 32-bits Windows-systeem, met zijn eigen bibliotheken en systeempaden , ook al werkt alles intern anders.

De meeste 32-bits programma's hoeven niet te weten of ze daadwerkelijk op een 32-bits of 64-bits systeem draaien. Alleen in zeer specifieke gevallen, wanneer de software onderscheid moet maken tussen architecturen, kan het gebruikmaken van specifieke Windows API's om dit te achterhalen. Voor de gemiddelde gebruiker is het belangrijkste dat er over het algemeen niets bijzonders hoeft te worden gedaan : het systeem regelt dit automatisch.

Er zijn echter enkele belangrijke uitzonderingen . Bepaalde zeer laag-niveau applicaties, zoals veel oudere antivirusprogramma's, stuurprogramma's of beveiligingstools die rechtstreeks met de kernel communiceren, vereisen specifieke 64-bits versies om correct te functioneren op een 64-bits Windows-systeem. In deze gevallen is een 32-bits versie mogelijk niet compatibel of sterk beperkt.

De mappen System32, SysWOW64 en Program Files: wat ze bevatten.

Wanneer je 64-bits Windows installeert op een compatibele computer, verschijnen er verschillende systeem- en programmamappen , wat in eerste instantie verwarrend kan zijn. Op schijfniveau zijn de belangrijkste paden die je moet kennen de volgende:

• C: \ Windows \ System32: Windows-systeemmap die op een 64-bits systeem bestanden opslaat 64-bits binaire bestanden (uitvoerbare bestanden en DLL's).
• C: \ Windows \ SysWOW64: systeemmap gereserveerd voor de 32-bits bestanden die 32-bits applicaties gebruiken onder WOW64.
• C:\Program Files (o C: \ Program Files): map bedoeld voor 64-bits programma's en de bijbehorende bestanden.
• C:\Program Files (x86) (o C: \ Program Files (x86)): map waar de 32-bits programma's op een 64-bits Windows-systeem.

Het meest raadselachtige detail is dat de map System32 64-bits code bevat , terwijl SysWOW64 vol staat met 32-bits bestanden. Dit is precies het tegenovergestelde van wat je zou verwachten als je alleen naar de namen kijkt. De reden hiervoor is, zoals al eerder vermeld, om compatibiliteit te behouden met oudere software die verwacht systeembronnen in System32 te vinden.

In de praktijk leidt Windows veel schijfaanvragen ongemerkt om . Wanneer een 32-bits applicatie probeert toegang te krijgen tot C:\Windows\System32 , leidt het WOW64-subsysteem die aanvraag om naar C:\Windows\SysWOW64 , zodat het programma de juiste 32-bits bibliotheken laadt zonder dat het de truc merkt.

Wat betreft programmamappen, gebeurt er iets vergelijkbaars. 64-bits applicaties worden standaard geïnstalleerd in Program Files , terwijl 32-bits applicaties in Program Files (x86) terechtkomen . Een goed ontworpen installatieprogramma detecteert de systeemarchitectuur en plaatst elk binair bestand in de juiste map om conflicten te voorkomen.

Hoewel een programma soms wel werkt als je het in de "verkeerde" map plaatst, is het altijd het beste om deze structuur te respecteren . Als een applicatie Windows om het pad "Program Files" vraagt ​​en je hebt het op de verkeerde locatie geïnstalleerd, kan het zijn dat het ondersteunende bestanden in de verkeerde map zoekt en op lastig te diagnosticeren manieren vastloopt.

Wat betekenen WOW64 en x86: een stukje geschiedenis

De term WOW64 komt van "Windows on Windows 64", wat kan worden begrepen als "32-bits Windows dat draait bovenop 64-bits Windows". Het is de component die ervoor zorgt dat 32-bits applicaties op een 64-bits besturingssysteem kunnen draaien zonder speciale tussenkomst van de gebruiker. Dit wordt bereikt door een compatibiliteitslaag te bieden die de communicatie tussen de twee besturingssystemen vertaalt.

Om zijn werk te doen, vertrouwt WOW64 op een aantal zeer specifieke dynamische linkbibliotheken (DLL's) :

• wow64.dll: fungeert als de hoofdinterface en vertaalt 32-bits aanroepen naar hun 64-bits equivalent.
• wow64win.dll: biedt de toegangspunten die applicaties gebruiken om te communiceren met het 64-bits subsysteem.
• wow64cpu.dllHet is verantwoordelijk voor het beheren van de overgang tussen de uitvoeringsmodus van 32 en 64 bits in de processor.

Aan de andere kant verwijst de term x86 naar een familie van Intel-processoren (8086, 80186, 80286, 80386, enz.) die een compatibele instructieset deelden. In de loop der tijd, en vooral sinds de legendarische 80386, werd het gebruik ervan wijdverbreid om in het algemeen te verwijzen naar 32-bits architecturen die compatibel waren met die instructieset . Tegenwoordig betekent "x86" bijna altijd "32-bits".

Deze naamgevingsconventie wordt in Windows weerspiegeld in de map Program Files (x86) , die duidelijk aangeeft dat dit de map is die is gereserveerd voor 32-bits software . De map Program Files zonder achtervoegsel is daarentegen gekoppeld aan 64-bits applicaties.

System32, SysWOW64 en het Windows-register

Het naast elkaar bestaan ​​van 32-bits en 64-bits applicaties heeft niet alleen gevolgen voor bestandsmappen, maar ook voor het Windows-register zelf . Net zoals er aparte paden zijn voor 32-bits en 64-bits binaire bestanden, zijn er ook verschillende sleutels om de configuratie van elk applicatietype gescheiden te houden.

In 32-bits (x86) systemen worden programma-verwijderingsvermeldingen meestal opgeslagen in de volgende registersleutel:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Uninstall

Op 64-bits (x64) systemen introduceert Windows een extra knooppunt onder Wow6432Node om 32-bits programma's te verwerken die onder WOW64 draaien. In dit geval is de gebruikelijke procedure voor het verwijderen van 32-bits applicaties als volgt:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\HuidigeVersie\Verwijderen

Op deze manier houdt het systeem 32-bits en 64-bits configuraties en verwijzingen gescheiden , waardoor wordt voorkomen dat de ene applicatie de andere gemakkelijk beïnvloedt door simpelweg een sleutel- of waardenaam te delen. Dit is vooral belangrijk voor installatieprogramma's, updates en tools voor onderhoud op afstand die moeten kunnen onderscheiden welke versie van een programma is geïnstalleerd. Als u een programma geforceerd wilt verwijderen of problematische registervermeldingen wilt opschonen, zijn er specifieke handleidingen die uitleggen hoe u dit correct kunt doen.

Is SysWOW64 een virus of kan ik het gewoon verwijderen?

Een van de meest voorkomende angsten is dat de map SysWOW64 een virus of iets gevaarlijks is, omdat deze veel ruimte inneemt, in Taakbeheer verschijnt en moeilijk te verwijderen is . In werkelijkheid is SysWOW64 een legitieme systeemmap, essentieel voor de werking van 64-bits Windows.

Onder normale omstandigheden slaat SysWOW64 32-bits .dll- en .exe-bestanden op die nodig zijn voor programma's die onder WOW64 draaien. Deze map kan enkele gigabytes in beslag nemen, en sommige gebruikers hebben zelfs melding gemaakt van bestanden van bijna 40 GB , met name op oudere systemen met veel geïnstalleerde applicaties. Dit kan ertoe leiden dat uw computer trager wordt of dat de schijfruimte opraakt; om ruimte vrij te maken kunt u de instructies voor het verwijderen van onnodige applicaties in Windows 11 raadplegen, maar dit betekent niet per se dat het schadelijk is.

Wat er kan gebeuren, is dat malwareontwikkelaars de naam SysWOW64 misbruiken om hun creaties te maskeren. Met andere woorden, ze manipuleren niet de oorspronkelijke systeemmap, maar maken in plaats daarvan bestanden of processen met zeer vergelijkbare namen om detectie te voorkomen. Op deze manier kan een nietsvermoedende gebruiker een Trojaans paard aanzien voor een legitiem systeemonderdeel.

Als je vermoedt dat er iets mis is, is het raadzaam je systeem te scannen met een goed, actueel antivirus- of antispywareprogramma en een volledige scan uit te voeren. Tools zoals Malwarebytes en andere bekende beveiligingsproducten kunnen kwaadaardige processen detecteren die zich proberen te vermommen met behulp van systeembestandsnamen.

Als een volledige scan door beveiligingssoftware geen bedreigingen detecteert die verband houden met SysWOW64, heeft het geen zin om de map te verwijderen. Sterker nog, het handmatig verwijderen van SysWOW64 kan Windows onbruikbaar maken of ernstige fouten veroorzaken bij het uitvoeren van 32-bits applicaties.

Hoe weet je of de SysWOW64 die je ziet legitiem is of malware?

Zelfs als de map C:\Windows\SysWOW64 legitiem is, is er niets dat voorkomt dat kwaadwillende software dezelfde of een zeer vergelijkbare naam op een andere locatie gebruikt, of zich registreert als een achtergrondproces om buitensporig veel CPU en geheugen te verbruiken . Dit is een veelgebruikte techniek, met name bij Trojaanse paarden en cryptominers.

Een duidelijk teken dat er iets mis is, is wanneer de computer extreem traag wordt, de ventilator zonder duidelijke reden harder gaat draaien of het CPU-gebruik constant boven de 80-90% uitstijgt . Als je in Taakbeheer processen ziet met namen die gerelateerd zijn aan SysWOW64 en die een onevenredig hoog resourceverbruik hebben, is het de moeite waard om dit te onderzoeken.

Op dat moment kunt u met de rechtermuisknop op het proces klikken en 'Bestandslocatie openen ' kiezen. Als het uitvoerbare bestand zich niet in het gebruikelijke systeempad bevindt of in een verdachte map in AppData, Temp of een andere ongebruikelijke locatie, is het zeer waarschijnlijk vermomde malware die zich voordoet als een Windows-component.

Naast handmatig scannen is een volledige scan met een beveiligingssuite essentieel . Veel Trojaanse paarden worden verspreid via e-mails met geïnfecteerde bijlagen, illegale downloads, cracks, keygens of kwaadaardige advertenties die gebruikers doorverwijzen naar gecompromitteerde websites. Zodra het bestand is uitgevoerd, downloadt de malware zich stilletjes, creëert persistente processen en kan legitieme namen gebruiken om de gebruiker te misleiden.

Als uw beveiligingsprogramma een kwaadaardig bestand detecteert met de naam SysWOW64 of iets dergelijks, laat u de antivirussoftware de geïnfecteerde componenten verwijderen of in quarantaine plaatsen. Het is belangrijk om de originele map C:\Windows\SysWOW64 niet aan te raken als de scan aangeeft dat deze schoon is.

Geavanceerde stappen voor de behandeling van SysWOW64-gerelateerde infecties

In ernstigere situaties, met name bij ransomware, persistente Trojaanse paarden of cryptominers , kan een grondigere systeemopruiming nodig zijn. Handmatige manipulatie van systeembestanden brengt echter inherente risico's met zich mee en wordt alleen aanbevolen voor ervaren gebruikers.

Een veelgebruikte techniek is om de computer opnieuw op te starten in de veilige modus met netwerkondersteuning . In deze beperkte omgeving laadt Windows alleen essentiële services, waardoor het voor veel malwareprogramma's moeilijk is om te starten of opnieuw te laden bij het opstarten. Vanuit deze veilige modus is het gemakkelijker om verdachte processen te lokaliseren en te verwijderen.

In Windows 7, Vista of XP kunt u dit doen door uw computer opnieuw op te starten en herhaaldelijk op toetsen zoals F8 (of andere toetsen, afhankelijk van het moederbord) te drukken totdat u de geavanceerde opstartopties bereikt , waar de veilige modus met netwerkondersteuning beschikbaar is. In Windows 8 en Windows 10 opent u de Instellingen, gaat u naar Update & beveiliging , vervolgens naar het gedeelte Herstel en gebruikt u de geavanceerde opstartopties om de opstartmogelijkheden te openen, inclusief de veilige modus.

Eenmaal in de veilige modus kunt u Taakbeheer gebruiken om achtergrondprocessen te bekijken, verdachte processen op te sporen, de locatie ervan op de schijf te openen en, nadat het proces is voltooid, de bijbehorende bestanden te verwijderen . Dit proces moet worden aangevuld met een volledige systeemscan met behulp van een antimalwareprogramma.

Het is ook raadzaam om de programma's die automatisch opstarten te controleren via het tabblad "Opstarten" in Taakbeheer en verdachte items uit te schakelen. Daarnaast kunt u Schijfopruiming van Windows uitvoeren om tijdelijke bestanden, onnodige downloads en andere restanten te verwijderen die sommige malware gebruikt om zich te verbergen.

Goede beveiligings- en back-upprocedures

Hoewel SysWOW64 een legitiem onderdeel is, kan malware die misbruik maakt van de naam ervan de deur openen naar veel complexere aanvallen , zoals ransomware die uw bestanden versleutelt of Trojaanse paarden die gevoelige informatie stelen. Daarom is het combineren van verschillende preventieve maatregelen essentieel.

Ten eerste is het altijd raadzaam om uw antivirus- of antimalwaresoftware up-to-date te houden , zodat deze de nieuwste bedreigingen kan detecteren. Maar het is ook belangrijk om de e-mails die u ontvangt kritisch te bekijken, geen bijlagen van dubieuze bronnen te openen en op uw hoede te zijn voor verkorte links, aanbiedingen die te mooi lijken om waar te zijn en downloads van onofficiële software.

Een andere cruciale beschermingsmaatregel is het regelmatig maken van back-ups van uw belangrijke gegevens. Als ransomware erin slaagt uw documenten, foto's of projecten te versleutelen, kan een recente back-up het verschil betekenen tussen het herstellen van alles en het lijden van onherstelbaar verlies.

In omgevingen waar privacy een cruciale factor is, is het verstandig om te overwegen een betrouwbare VPN te gebruiken om bepaalde vormen van tracking te voorkomen en uw verbinding te beschermen tegen aanvallen op openbare netwerken. Hoewel dit geen directe bescherming biedt tegen SysWOW64 of soortgelijke aanvallen, draagt ​​het wel bij aan de algehele systeembeveiliging.

Door verstandig te internetten, een up-to-date systeem te gebruiken, betrouwbare beveiligingssoftware in te zetten en verantwoordelijk om te gaan met de bestanden die je downloadt , verklein je de kans aanzienlijk dat malware zich vermomt onder namen zoals SysWOW64 zonder dat je het merkt.

De SysWOW64- map en de WOW64-technologie zijn essentiële componenten die ervoor zorgen dat 64-bits Windows 32-bits applicaties normaal kan uitvoeren. Dit is mogelijk dankzij speciale paden zoals SysWOW64, System32 en Program Files (x86), evenals aparte registersleutels. Hoewel sommige virussen deze namen misbruiken om zich te verbergen, mag de originele map nooit worden verwijderd. Wat echt belangrijk is, is een combinatie van beveiligingsanalyse, gezond verstand en back-ups om uw systeem stabiel, snel en vrij van bedreigingen te houden, zonder de compatibiliteit met uw bestaande software op te offeren.

Gerelateerd artikel:

Hoe u een programma kunt forceren om het te verwijderen en het register in Windows kunt opschonen