Czym są foldery WOW64 i SysWOW64 i do czego służą w systemie Windows?

Informatec Digital » Zasoby » Czym są foldery WOW64 i SysWOW64 i do czego służą w systemie Windows?

Jeśli kiedykolwiek otworzyłeś Menedżera zadań systemu Windows , ponieważ Twój komputer działał wolniej niż zwykle, prawdopodobnie natknąłeś się na dziwne procesy odwołujące się do SysWOW64 lub tajemniczego folderu C:\Windows\SysWOW64 . Czasami zdają się one zużywać dużo pamięci, nie można zakończyć zadania i oczywiście włącza się alarm: „A co, jeśli to wirus?”.

Co więcej, próbując przejść do lokalizacji pliku z Menedżera zadań, odkrywasz, że folder zawiera setki plików .dll i .exe , których rozmiar z łatwością osiąga kilka gigabajtów. Co gorsza, system Windows nie pozwala na jego usunięcie, tak jak w przypadku każdego innego folderu. Zrozumiałe, że może to być niepokojące, ale przede wszystkim powinieneś wiedzieć, że SysWOW64 domyślnie nie jest wirusem , a raczej krytycznym elementem systemu operacyjnego.

Czym są WOW64, SysWOW64 i dlaczego istnieją te dziwne foldery?

W nowoczesnych systemach Microsoft 64-bitowe wersje systemu Windows są projektowane tak, aby były kompatybilne zarówno z aplikacjami 64-bitowymi, jak i starszymi programami 32-bitowymi. Aby to osiągnąć, system Windows integruje technologię o nazwie WOW64 (Windows on Windows 64) , która działa jak swoisty „tłumacz” między aplikacjami 32-bitowymi a 64-bitowym systemem operacyjnym.

Ten komponent WOW64 zapewnia warstwę kompatybilności , która pozwala programowi 32-bitowemu myśleć, że działa w standardowym 32-bitowym systemie Windows, mimo że w rzeczywistości działa w systemie 64-bitowym. Aby to osiągnąć, system wykorzystuje kombinację przekierowania plików i rejestru oraz zestaw bibliotek obsługujących translację i przełączanie kontekstu między systemami 32-bitowymi i 64-bitowymi.

Folder SysWOW64 jest częścią tego mechanizmu . W 64-bitowym systemie Windows znajdują się dwa główne katalogi systemowe: C:\Windows\System32 i C:\Windows\SysWOW64 . Pomimo nazwy, System32 zawiera 64-bitowe biblioteki i pliki wykonywalne, podczas gdy SysWOW64 przechowuje 32-bitowe wersje potrzebne starszym programom.

Ta pozornie sprzeczna organizacja wynika z kwestii kompatybilności ze starszym oprogramowaniem . Wielu programistów zakodowało na stałe ścieżkę C:\Windows\System32 w swoim kodzie , zakładając, że ten folder zawsze będzie zawierał biblioteki systemowe. Aby uniknąć problemów z tym oprogramowaniem podczas migracji na wersję 64-bitową, Microsoft zdecydował, że System32 pozostanie „głównym” katalogiem systemu, zawierającym teraz 64-bitowe pliki binarne, i stworzył SysWOW64, aby pomieścić pliki 32-bitowe.

Krótko mówiąc, WOW64 i SysWOW64 pozwalają starszym aplikacjom 32-bitowym na działanie bez zmian w środowisku 64-bitowym, zarządzając różnicami architektonicznymi w sposób dla użytkownika niezauważalny.

Różnice między 32-bitowym a 64-bitowym systemem Windows: pamięć RAM, programy i zgodność

Przez wiele lat większość komputerów sprzedawanych publicznie korzystała z architektury 32-bitowej i 32-bitowych wersji systemu Windows. W tych systemach praktyczny limit dostępnej pamięci RAM wynosi zazwyczaj od 3 do 4 GB , ponieważ część przestrzeni adresowej jest zarezerwowana dla karty graficznej i innych urządzeń.

Wraz z pojawieniem się niedrogich procesorów 64-bitowych i systemów operacyjnych, takich jak Windows 7 i nowsze , rynek dokonał ogromnego skoku w kierunku architektury 64-bitowej. 64-bitowy system Windows może obsługiwać znacznie większe ilości pamięci RAM, sięgające dziesiątek, a nawet setek gigabajtów w niektórych wersjach , co otwiera drzwi do bardziej wymagających aplikacji i poprawia ogólną wydajność, szczególnie w środowiskach profesjonalnych.

W systemie 64-bitowym można uruchamiać natywne programy 64-bitowe , a dzięki WOW64 również klasyczne aplikacje 32-bitowe. Emulator WOW64 zapewnia, że ​​program 32-bitowy nadal będzie korzystał ze środowiska podobnego do 32-bitowego systemu Windows, z własnymi bibliotekami i ścieżkami systemowymi , mimo że wszystko działa inaczej w tle.

Większość programów 32-bitowych nie musi wiedzieć, czy działają w systemie 32-bitowym, czy 64-bitowym. Tylko w bardzo szczególnych przypadkach, gdy oprogramowanie musi rozróżnić architektury, może skorzystać z określonych interfejsów API systemu Windows , aby to sprawdzić. Dla przeciętnego użytkownika najważniejsze jest to, że zazwyczaj nie trzeba nic specjalnego robić : system obsługuje to automatycznie.

Istnieją jednak pewne istotne wyjątki . Niektóre aplikacje bardzo niskiego poziomu, takie jak wiele starszych programów antywirusowych, sterowników czy narzędzi bezpieczeństwa, które bezpośrednio współpracują z jądrem, wymagają określonych wersji 64-bitowych do poprawnego działania w 64-bitowym systemie Windows. W takich przypadkach wersja 32-bitowa może być niekompatybilna lub mieć poważne ograniczenia.

Foldery System32, SysWOW64 i Program Files: co każdy z nich zawiera

Podczas instalacji 64-bitowego systemu Windows na kompatybilnym komputerze pojawia się kilka folderów systemowych i programowych , co na początku może być mylące. Na poziomie dysku główne ścieżki, które powinieneś znać, to:

• C: \ Windows \ System32:Folder systemowy Windows, który w systemie 64-bitowym przechowuje 64-bitowe pliki binarne (pliki wykonywalne i biblioteki DLL).
• C: \ Windows \ SysWOW64:folder systemowy zarezerwowany dla Pliki 32-bitowe które używają aplikacji 32-bitowych pod WOW64.
• C:\Pliki programów (o C: Program Files \): katalog przeznaczony dla Programy 64-bitowe i powiązane z nim pliki.
• C:\Pliki programów (x86) (o C: Program Files \ (x86)): folder, w którym Programy 32-bitowe w 64-bitowym systemie Windows.

Najbardziej zagadkowym szczegółem jest to, że folder System32 zawiera kod 64-bitowy , podczas gdy SysWOW64 zawiera pliki 32-bitowe. To dokładne przeciwieństwo tego, czego można by się spodziewać po samych nazwach. Powodem, jak już wspomniano, jest zachowanie kompatybilności ze starszym oprogramowaniem , które oczekuje zasobów systemowych w System32.

W praktyce system Windows w sposób transparentny przekierowuje wiele wywołań dyskowych. Gdy aplikacja 32-bitowa próbuje uzyskać dostęp do C:\Windows\System32 , podsystem WOW64 przekierowuje to żądanie do C:\Windows\SysWOW64 , dzięki czemu program ładuje odpowiednie biblioteki 32-bitowe, nie zauważając sztuczki.

Podobna sytuacja ma miejsce w przypadku folderów programów. Aplikacje 64-bitowe są domyślnie instalowane w folderze Program Files , natomiast aplikacje 32-bitowe w folderze Program Files (x86) . Jeśli instalator jest dobrze zaprojektowany, wykrywa architekturę systemu i umieszcza każdy plik binarny w odpowiednim folderze, aby uniknąć konfliktów.

Chociaż program może czasami działać, nawet jeśli umieścisz go w „niewłaściwym” folderze, zawsze najlepiej jest przestrzegać tej struktury . Jeśli aplikacja zapyta system Windows o ścieżkę „Program Files”, a zainstalujesz ją w niewłaściwej lokalizacji, może ona zacząć szukać plików pomocniczych w niewłaściwym katalogu i napotkać problemy trudne do zdiagnozowania.

Co oznaczają WOW64 i x86: trochę historii

Termin WOW64 pochodzi od słowa „Windows on Windows 64”, co można rozumieć jako „32-bitowy system Windows działający na 64-bitowym systemie Windows”. Jest to komponent, który umożliwia działanie 32-bitowych aplikacji w 64-bitowym systemie operacyjnym bez konieczności specjalnej interwencji użytkownika. Osiąga to poprzez zapewnienie warstwy kompatybilności, która tłumaczy wywołania między dwoma systemami operacyjnymi.

Aby wykonać swoje zadanie, WOW64 opiera się na kilku bardzo specyficznych bibliotekach dołączanych dynamicznie (DLL) :

• wow64.dll:działa jako główny interfejs, tłumacząc wywołania 32-bitowe na ich odpowiedniki 64-bitowe.
• wow64win.dll:zapewnia punkty wejścia, których aplikacje używają do interakcji z podsystemem 64-bitowym.
• wow64cpu.dll:Odpowiada za zarządzanie zmianą trybu wykonywania pomiędzy 32 a 64 bitami w procesorze.

Z drugiej strony, termin x86 odnosi się do rodziny procesorów Intel (8086, 80186, 80286, 80386 itd.), które współdzieliły kompatybilny zestaw instrukcji. Z czasem, a zwłaszcza od czasu legendarnego procesora 80386, jego użycie stało się powszechne w odniesieniu do architektur 32-bitowych kompatybilnych z tym zestawem instrukcji . Dziś, gdy widzisz „x86”, prawie zawsze oznacza to „32-bitowy”.

Ta konwencja nazewnictwa znajduje odzwierciedlenie w systemie Windows w folderze Program Files (x86) , co wyraźnie wskazuje, że jest to katalog zarezerwowany dla oprogramowania 32-bitowego . Natomiast folder Program Files bez sufiksu jest kojarzony z aplikacjami 64-bitowymi.

System32, SysWOW64 i rejestr systemu Windows

Współistnienie aplikacji 32-bitowych i 64-bitowych wpływa nie tylko na foldery plików, ale także na sam Rejestr systemu Windows . Tak jak istnieją oddzielne ścieżki dla plików binarnych 32-bitowych i 64-bitowych, tak istnieją różne klucze, które pozwalają na oddzielną konfigurację każdego typu aplikacji.

W systemach 32-bitowych (x86) wpisy dotyczące odinstalowywania programów są zwykle przechowywane w kluczu:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Uninstall

W systemach 64-bitowych (x64) system Windows wprowadza dodatkowy węzeł w ramach Wow6432Node do obsługi programów 32-bitowych działających w systemie WOW64. W takim przypadku typowa ścieżka odinstalowywania aplikacji 32-bitowych wygląda następująco:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall

W ten sposób system oddziela konfiguracje i referencje 32-bitowe i 64-bitowe , zapobiegając łatwemu zakłócaniu działania jednej aplikacji przez drugą poprzez współdzielenie nazwy klucza lub wartości. Jest to szczególnie ważne w przypadku instalatorów, programów aktualizujących i narzędzi do zdalnej konserwacji, które muszą rozróżniać zainstalowaną wersję programu. Jeśli chcesz wymusić odinstalowanie lub usunąć problematyczne wpisy w rejestrze, dostępne są szczegółowe przewodniki wyjaśniające, jak to zrobić poprawnie.

Czy SysWOW64 to wirus czy mogę go po prostu usunąć?

Jedną z najczęstszych obaw jest to, że folder SysWOW64 to wirus lub coś niebezpiecznego, ponieważ zajmuje dużo miejsca, pojawia się w Menedżerze zadań i trudno go usunąć . W rzeczywistości SysWOW64 to legalny folder systemowy, niezbędny do działania 64-bitowego systemu Windows.

W normalnych warunkach SysWOW64 przechowuje 32-bitowe pliki .dll i .exe wymagane przez programy działające pod kontrolą WOW64. Mogą one zajmować kilka gigabajtów, a niektórzy użytkownicy zgłaszali nawet rozmiary zbliżające się do 40 GB , szczególnie w starszych systemach z wieloma zainstalowanymi aplikacjami. Może to prowadzić do spowolnienia działania komputera lub wyczerpania miejsca na dysku; aby odzyskać wolne miejsce, zapoznaj się z instrukcjami usuwania zbędnych aplikacji w systemie Windows 11, ale nie oznacza to, że jest to szkodliwe.

Twórcy złośliwego oprogramowania mogą wykorzystać nazwę SysWOW64 do zamaskowania swoich tworów. Innymi słowy, nie manipulują oryginalnym folderem systemowym, lecz tworzą pliki lub procesy o bardzo podobnych nazwach, aby uniknąć wykrycia. W ten sposób niczego niepodejrzewający użytkownik może pomylić trojana z legalnym komponentem systemowym.

Jeśli podejrzewasz, że coś jest nie tak, zaleca się przeskanowanie systemu dobrym, aktualnym programem antywirusowym lub antyspyware i przeprowadzenie pełnego skanowania. Narzędzia takie jak Malwarebytes i inne znane produkty zabezpieczające potrafią wykryć złośliwe procesy, które próbują się maskować, używając nazw plików systemowych.

Jeśli pełne skanowanie za pomocą oprogramowania zabezpieczającego nie wykryje żadnych zagrożeń związanych z SysWOW64, próba usunięcia folderu nie ma sensu. W rzeczywistości ręczne usunięcie SysWOW64 może uniemożliwić korzystanie z systemu Windows lub spowodować poważne błędy podczas uruchamiania aplikacji 32-bitowych.

Jak rozpoznać, czy widoczny plik SysWOW64 jest legalny, czy jest to złośliwe oprogramowanie

Nawet jeśli katalog C:\Windows\SysWOW64 jest legalny, nic nie stoi na przeszkodzie, aby złośliwe oprogramowanie używało tej samej lub bardzo podobnej nazwy w innej lokalizacji lub rejestrowało się jako proces w tle, nadmiernie obciążając procesor i pamięć . Jest to powszechna technika, szczególnie wśród trojanów i kryptominerów.

Wyraźnym sygnałem, że coś jest nie tak, jest zauważenie, że komputer zaczyna działać bardzo wolno, wentylator kręci się bez wyraźnego powodu lub obciążenie procesora stale przekracza 80-90%. Jeśli w Menedżerze zadań widzisz procesy o nazwach powiązanych z SysWOW64 i nieproporcjonalnie dużym zużyciu zasobów, warto to zbadać.

W tym momencie możesz kliknąć proces prawym przyciskiem myszy i wybrać opcję „Otwórz lokalizację pliku ”. Jeśli plik wykonywalny nie znajduje się w zwykłej ścieżce systemowej lub znajduje się w podejrzanym folderze w AppData, Temp lub innej nietypowej lokalizacji, jest bardzo prawdopodobne, że jest to ukryte złośliwe oprogramowanie podszywające się pod składnik systemu Windows.

Oprócz ręcznego skanowania, niezbędne jest pełne skanowanie z użyciem pakietu bezpieczeństwa . Wiele trojanów jest dystrybuowanych za pośrednictwem wiadomości e-mail z zainfekowanymi załącznikami, pirackich plików do pobrania, cracków, keygenów lub złośliwych reklam, które przekierowują użytkowników na zainfekowane strony internetowe. Po uruchomieniu pliku złośliwe oprogramowanie pobiera się po cichu, tworzy trwałe procesy i może używać legalnych nazw, aby oszukać użytkownika.

Jeśli Twoje narzędzie zabezpieczające wykryje złośliwy plik o nazwie SysWOW64 lub podobnej, powinieneś pozwolić programowi antywirusowemu na usunięcie lub poddanie kwarantannie zainfekowanych komponentów. Ważne jest, aby nie ruszać oryginalnego folderu C:\Windows\SysWOW64, jeśli skanowanie wykaże, że jest on czysty.

Zaawansowane kroki leczenia infekcji związanych z SysWOW64

W poważniejszych sytuacjach, zwłaszcza w przypadku ransomware, uporczywych trojanów lub koparek kryptowalut , konieczne może być dokładniejsze czyszczenie systemu. Jednak każda ręczna manipulacja plikami systemowymi wiąże się z ryzykiem i jest zalecana wyłącznie doświadczonym użytkownikom.

Powszechną techniką jest ponowne uruchomienie komputera w trybie awaryjnym z obsługą sieci . W tym ograniczonym środowisku system Windows ładuje tylko niezbędne usługi, co utrudnia uruchamianie lub ponowne ładowanie wielu złośliwych programów podczas startu systemu. Dzięki temu łatwiej jest zlokalizować i usunąć podejrzane procesy.

Aby to zrobić w systemie Windows 7, Vista lub XP, możesz ponownie uruchomić komputer i naciskać klawisze takie jak F8 (lub inne, w zależności od płyty głównej), aż uzyskasz dostęp do zaawansowanych opcji uruchamiania , gdzie dostępny jest tryb awaryjny z obsługą sieci. W systemach Windows 8 i Windows 10 procedura obejmuje otwarcie Ustawień, przejście do sekcji Aktualizacja i zabezpieczenia , przejście do sekcji Odzyskiwanie i skorzystanie z zaawansowanych opcji uruchamiania, aby uzyskać dostęp do opcji rozruchu, w tym trybu awaryjnego.

W trybie awaryjnym możesz użyć Menedżera zadań , aby przejrzeć procesy działające w tle, zlokalizować te, które wydają się podejrzane, otworzyć ich lokalizację na dysku i po zakończeniu zadania usunąć powiązane pliki . Proces ten należy uzupełnić pełnym skanowaniem systemu za pomocą narzędzia antywirusowego.

Przydatne jest również sprawdzenie programów uruchamianych podczas uruchamiania systemu z poziomu zakładki „Uruchamianie” w Menedżerze zadań, wyłączając wszelkie podejrzane wpisy. Dodatkowo można uruchomić Oczyszczanie dysku systemu Windows, aby usunąć pliki tymczasowe, niepotrzebne pobrane pliki i inne pozostałości, które niektóre złośliwe programy wykorzystują do ukrywania się.

Dobre praktyki bezpieczeństwa i tworzenia kopii zapasowych

Chociaż SysWOW64 jest legalnym komponentem, złośliwe oprogramowanie wykorzystujące jego nazwę może otworzyć drogę do znacznie bardziej złożonych ataków , takich jak ransomware szyfrujący pliki lub trojany kradnące poufne informacje. Dlatego kluczowe jest połączenie kilku środków zapobiegawczych.

Po pierwsze, zawsze zaleca się aktualizację oprogramowania antywirusowego lub antymalware , aby było ono w stanie wykrywać najnowsze zagrożenia. Ważne jest również, aby krytycznie analizować otrzymywane wiadomości e-mail, unikać otwierania załączników z podejrzanych źródeł oraz uważać na skrócone linki, oferty, które wydają się zbyt dobre, aby były prawdziwe, oraz pobieranie nieoficjalnego oprogramowania.

Kolejnym kluczowym elementem ochrony jest regularne tworzenie kopii zapasowych ważnych danych. Jeśli ransomware zdoła zaszyfrować Twoje dokumenty, zdjęcia lub projekty, posiadanie aktualnej kopii zapasowej może zadecydować o tym, czy odzyskasz wszystko, czy poniesiesz nieodwracalną stratę.

W środowiskach, w których prywatność jest kluczowym czynnikiem, warto rozważyć korzystanie z zaufanych sieci VPN , aby zapobiec niektórym typom śledzenia i chronić połączenie przed atakami na sieci publiczne. Chociaż nie zapewnia to bezpośredniej ochrony przed SysWOW64 ani jego imitacjami, przyczynia się do poprawy ogólnego bezpieczeństwa systemu.

Łącząc dobre praktyki przeglądania Internetu, aktualny system, niezawodne oprogramowanie zabezpieczające i odpowiedzialne nawyki podczas pobierania plików , znacznie zmniejszasz prawdopodobieństwo pojawienia się złośliwego oprogramowania pod nazwami takimi jak SysWOW64 bez Twojej wiedzy.

Folder SysWOW64 i technologia WOW64 to kluczowe komponenty, które umożliwiają 64-bitowemu systemowi Windows normalne uruchamianie aplikacji 32-bitowych, korzystając ze specjalnych ścieżek, takich jak SysWOW64, System32 i Program Files (x86), a także oddzielnych kluczy rejestru. Chociaż niektóre wirusy wykorzystują te nazwy do ukrywania się, oryginalnego folderu nigdy nie należy usuwać. Najważniejsze jest połączenie analizy bezpieczeństwa, zdrowego rozsądku i kopii zapasowych, aby zapewnić stabilność, szybkość i bezpieczeństwo systemu bez utraty kompatybilności z istniejącym oprogramowaniem.