Ce sunt folderele WOW64 și SysWOW64 și la ce se folosesc în Windows?

Informatec Digital » Recursos » Ce sunt folderele WOW64 și SysWOW64 și la ce se folosesc în Windows?

Dacă ați deschis vreodată Managerul de activități Windows pentru că computerul rula mai lent decât de obicei, probabil ați întâlnit procese ciudate care fac referire la SysWOW64 sau la misteriosul folder C:\Windows\SysWOW64 . Uneori, acestea par chiar să utilizeze multă memorie, nu puteți termina activitatea și, bineînțeles, încep să sune clopotele de alarmă: „Ce se întâmplă dacă este un virus?”

În plus, când încercați să navigați la locația fișierului din Managerul de activități, descoperiți că folderul conține sute de fișiere .dll și .exe , care pot ajunge cu ușurință la câțiva gigaocteți. Ca și cum lucrurile nu ar fi fost destul de rele, Windows nu vă permite să îl ștergeți ca pe orice alt folder. Este de înțeles că acest lucru ar putea fi alarmant, dar primul lucru pe care ar trebui să-l știți este că SysWOW64 nu este, în mod implicit, un virus , ci mai degrabă o parte critică a sistemului de operare.

Ce sunt WOW64, SysWOW64 și de ce există aceste foldere ciudate?

În sistemele Microsoft moderne, versiunile pe 64 de biți ale sistemului de operare Windows sunt concepute pentru a fi compatibile atât cu aplicațiile pe 64 de biți, cât și cu programele mai vechi pe 32 de biți. Pentru a realiza acest lucru, Windows integrează o tehnologie numită WOW64 (Windows on Windows 64) , care acționează ca un fel de „traducător” între aplicațiile pe 32 de biți și sistemul de operare pe 64 de biți.

Această componentă WOW64 oferă un strat de compatibilitate care permite unui program pe 32 de biți să creadă că rulează pe un sistem Windows normal pe 32 de biți, chiar dacă rulează de fapt pe un sistem pe 64 de biți. Pentru a realiza acest lucru, sistemul folosește o combinație de redirecționare a fișierelor și a registrului și un set de biblioteci care gestionează traducerea și schimbarea contextului între sistemele pe 32 de biți și cele pe 64 de biți.

Folderul SysWOW64 face parte din acest mecanism . Pe un sistem Windows pe 64 de biți, veți găsi două directoare principale de sistem: C:\Windows\System32 și C:\Windows\SysWOW64 . În ciuda numelui, System32 conține bibliotecile și executabilele pe 64 de biți, în timp ce SysWOW64 stochează versiunile pe 32 de biți necesare pentru programele mai vechi.

Această organizare aparent contradictorie provine dintr-o chestiune de compatibilitate cu software-ul vechi . Mulți dezvoltatori au inclus în codul lor calea C:\Windows\System32 , presupunând că acest folder va conține întotdeauna bibliotecile sistemului. Pentru a evita deteriorarea acestui software la trecerea la 64 de biți, Microsoft a decis că System32 va rămâne directorul „principal” al sistemului, conținând acum fișiere binare pe 64 de biți, și a creat SysWOW64 pentru a le găzdui pe cele pe 32 de biți.

Pe scurt, WOW64 și SysWOW64 permit aplicațiilor mai vechi pe 32 de biți să ruleze neschimbate într-un mediu pe 64 de biți, gestionând diferențele arhitecturale în mod transparent pentru utilizator.

Diferențe între Windows pe 32 de biți și pe 64 de biți: RAM, programe și compatibilitate

Timp de mulți ani, majoritatea computerelor vândute publicului au folosit arhitecturi pe 32 de biți și versiuni pe 32 de biți de Windows. În aceste sisteme, limita practică a memoriei RAM utilizabile este de obicei între 3 și 4 GB , deoarece o parte din spațiul de adrese este rezervat plăcii grafice și altor dispozitive.

Odată cu apariția procesoarelor pe 64 de biți la prețuri accesibile și a sistemelor de operare precum Windows 7 și versiunile ulterioare , piața a făcut un salt masiv către arhitectura pe 64 de biți. Un sistem Windows pe 64 de biți poate gestiona cantități semnificativ mai mari de memorie, ajungând la zeci sau chiar sute de gigaocteți de RAM în unele ediții , ceea ce deschide ușa către aplicații mai solicitante și performanțe generale îmbunătățite, în special în mediile profesionale.

Pe un sistem pe 64 de biți, puteți rula programe native pe 64 de biți și, datorită WOW64, și aplicații clasice pe 32 de biți. Emulatorul WOW64 asigură că programul pe 32 de biți vede în continuare un mediu similar cu cel al unui sistem Windows pe 32 de biți, cu propriile biblioteci și căi de sistem , chiar dacă totul funcționează diferit în interior.

Majoritatea programelor pe 32 de biți nu trebuie să știe dacă rulează efectiv pe un sistem pe 32 de biți sau pe 64 de biți. Doar în cazuri foarte specifice, când software-ul trebuie să facă distincția între arhitecturi, acesta ar putea recurge la API-uri Windows specifice pentru a afla. Pentru utilizatorul obișnuit, important este că, în general, nu trebuie făcut nimic special : sistemul se ocupă automat de acest lucru.

Există, totuși, câteva excepții importante . Anumite aplicații de nivel foarte scăzut, cum ar fi multe programe antivirus mai vechi, drivere sau instrumente de securitate care interacționează direct cu kernelul, necesită versiuni specifice pe 64 de biți pentru a funcționa corect pe un sistem Windows pe 64 de biți. În aceste cazuri, o versiune pe 32 de biți poate să nu fie compatibilă sau poate fi sever limitată.

Folderele System32, SysWOW64 și Program Files: ce conține fiecare

Când instalați Windows pe 64 de biți pe un computer compatibil, apar mai multe foldere de sistem și de programe , ceea ce poate fi confuz la început. La nivel de disc, principalele căi pe care ar trebui să le cunoașteți sunt acestea:

• C: \ Windows \ System32folderul de sistem Windows care, pe un sistem pe 64 de biți, stochează Binare pe 64 biți (executabile și DLL-uri).
• C: \ Windows \ SysWOW64: folder de sistem rezervat pentru Fișiere pe 32 de biți care utilizează aplicații pe 32 de biți sub WOW64.
• C:\Program Files (o C: Fișiere program): director destinat pentru Programe pe 64 de biți și fișierele asociate acestuia.
• C:\Fișiere de program (x86) (o C: \ Program Files (x86)): folderul unde Programe pe 32 de biți pe un sistem Windows pe 64 de biți.

Cel mai derutant detaliu este că folderul System32 conține cod pe 64 de biți , în timp ce SysWOW64 este plin de fișiere pe 32 de biți. Este exact opusul a ceea ce te-ai aștepta doar uitându-te la nume. Motivul, așa cum am menționat deja, este de a menține compatibilitatea cu software-ul mai vechi care se așteaptă să găsească resurse de sistem în System32.

În practică, Windows redirecționează transparent multe apeluri de disc. Când o aplicație pe 32 de biți încearcă să acceseze C:\Windows\System32 , subsistemul WOW64 redirecționează acea solicitare către C:\Windows\SysWOW64 , astfel încât programul încarcă bibliotecile pe 32 de biți corespunzătoare fără să observe trucul.

În ceea ce privește folderele de programe, se întâmplă ceva similar. Aplicațiile pe 64 de biți sunt instalate în mod implicit în Program Files , în timp ce aplicațiile pe 32 de biți merg în Program Files (x86) . Dacă un program de instalare este bine conceput, acesta detectează arhitectura sistemului și plasează fiecare fișier binar în folderul corect pentru a evita conflictele.

Deși un program poate funcționa uneori chiar dacă îl plasați în folderul „greșit”, este întotdeauna recomandat să respectați această structură . Dacă o aplicație solicită Windows calea către „Program Files” și ați instalat-o în locația greșită, este posibil să caute fișiere de asistență în directorul incorect și să eșueze în moduri dificil de diagnosticat.

Ce înseamnă WOW64 și x86: puțină istorie

Termenul WOW64 provine de la „Windows pe Windows pe 64”, care poate fi înțeles ca „Windows pe 32 de biți care rulează peste Windows pe 64 de biți”. Este componenta care permite aplicațiilor pe 32 de biți să ruleze pe un sistem de operare pe 64 de biți fără a necesita nicio intervenție specială din partea utilizatorului. Realizează acest lucru prin furnizarea unui strat de compatibilitate care traduce apelurile între cele două sisteme de operare.

Pentru a-și face treaba, WOW64 se bazează pe câteva biblioteci de legături dinamice (DLL) foarte specifice :

• wow64.dll: acționează ca interfață principală, traducând apelurile pe 32 de biți în echivalentul lor pe 64 de biți.
• wow64win.dll: oferă punctele de intrare pe care aplicațiile le utilizează pentru a interacționa cu subsistemul pe 64 de biți.
• wow64cpu.dllEste responsabil pentru gestionarea schimbării modului de execuție între 32 și 64 de biți în procesor.

Pe de altă parte, termenul x86 se referă la o familie de procesoare Intel (8086, 80186, 80286, 80386 etc.) care aveau în comun un set de instrucțiuni compatibil. De-a lungul timpului, și mai ales de la legendarul 80386, utilizarea sa a devenit larg răspândită pentru a se referi, în general, la arhitecturi pe 32 de biți compatibile cu acel set de instrucțiuni . Astăzi, când vedeți „x86”, aproape întotdeauna înseamnă „32 de biți”.

Această convenție de denumire se reflectă în Windows în folderul Program Files (x86) , care indică în mod clar că este directorul rezervat software-ului pe 32 de biți . În schimb, folderul Program Files fără sufix este asociat cu aplicațiile pe 64 de biți.

System32, SysWOW64 și Registrul Windows

Coexistența aplicațiilor pe 32 de biți și pe 64 de biți afectează nu doar folderele de fișiere, ci și Registrul Windows în sine . Așa cum există căi separate pentru fișierele binare pe 32 de biți și pe 64 de biți, există chei diferite pentru a menține separată configurația fiecărui tip de aplicație.

În sistemele pe 32 de biți (x86) , intrările de dezinstalare a programelor sunt de obicei stocate în cheia:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Uninstall

Pe sistemele pe 64 de biți (x64) , Windows introduce un nod suplimentar sub Wow6432Node pentru a gestiona programele pe 32 de biți care rulează sub WOW64. În acest caz, calea tipică pentru dezinstalarea aplicațiilor pe 32 de biți ar fi:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Dezinstalare

În acest fel, sistemul păstrează separat configurațiile și referințele pe 32 de biți și pe 64 de biți , împiedicând o aplicație să interfereze ușor cu cealaltă pur și simplu prin partajarea unui nume de cheie sau valoare. Acest lucru este important în special pentru instalatori, actualizatori și instrumente de întreținere la distanță care trebuie să distingă ce versiune a unui program este instalată. Dacă trebuie să forțați o dezinstalare sau să curățați intrări problematice din registry, există ghiduri specifice care explică cum să faceți acest lucru corect.

Este SysWOW64 un virus sau îl pot pur și simplu șterge?

Una dintre cele mai frecvente temeri este că folderul SysWOW64 este un virus sau ceva periculos, deoarece ocupă mult spațiu, apare în Task Manager și este dificil de șters . Realitatea este că SysWOW64 este un folder de sistem legitim, esențial pentru funcționarea Windows pe 64 de biți.

În circumstanțe normale, SysWOW64 stochează fișiere .dll și .exe pe 32 de biți necesare programelor care rulează sub WOW64. Poate ocupa câțiva gigaocteți, iar unii utilizatori au raportat chiar dimensiuni care se apropie de 40 GB , în special pe sistemele mai vechi cu multe aplicații instalate. Acest lucru poate contribui la încetinirea computerului sau la epuizarea spațiului pe disc; pentru a recupera spațiu, puteți consulta instrucțiuni despre eliminarea aplicațiilor inutile în Windows 11, dar acest lucru nu înseamnă neapărat că este dăunător.

Ceea ce se poate întâmpla este ca dezvoltatorii de programe malware să exploateze numele SysWOW64 pentru a-și deghiza creațiile. Cu alte cuvinte, nu manipulează folderul original al sistemului, ci creează fișiere sau procese cu nume foarte similare pentru a evita detectarea. În acest fel, un utilizator neatent poate confunda un troian cu o componentă legitimă a sistemului.

Dacă suspectați că ceva nu este în regulă, este recomandabil să scanați sistemul cu un program antivirus sau antispyware bun și actualizat și să efectuați o scanare completă. Instrumente precum Malwarebytes și alte produse de securitate cunoscute pot detecta procese rău intenționate care încearcă să se deghizeze folosind nume de fișiere de sistem.

Dacă o scanare completă efectuată de un software de securitate nu detectează nicio amenințare asociată cu SysWOW64, nu are rost să încercați să ștergeți folderul. De fapt, ștergerea manuală a SysWOW64 poate face Windows inutilizabil sau poate cauza erori grave la rularea aplicațiilor pe 32 de biți.

Cum să-ți dai seama dacă SysWOW64-ul pe care îl vezi este legitim sau malware

Chiar dacă directorul C:\Windows\SysWOW64 este legitim, nimic nu împiedică software-ul rău intenționat să utilizeze același nume sau unul foarte similar într-o altă locație sau să se înregistreze ca proces în fundal pentru a consuma excesiv CPU și memorie . Aceasta este o tehnică comună, în special în rândul troienilor și criptominerilor.

Un semn clar că ceva este în neregulă este observarea faptului că computerul începe să funcționeze extrem de lent, ventilatorul se rotește fără niciun motiv aparent sau utilizarea procesorului crește constant peste 80-90%. Dacă vedeți procese în Task Manager cu nume legate de SysWOW64 și un consum disproporționat de resurse, merită investigat.

În acel moment, puteți face clic dreapta pe proces și alege „Deschide locația fișierului ”. Dacă executabilul nu se află în calea obișnuită de sistem sau se află într-un folder suspect în AppData, Temp sau o altă locație neobișnuită, este foarte probabil ca acesta să fie un malware deghizat care se deghizează în componentă Windows.

Pe lângă scanarea manuală, este esențială o scanare completă cu o suită de securitate . Mulți troieni sunt distribuiți prin e-mailuri cu atașamente infectate, descărcări piratate, crack-uri, keygen-uri sau reclame rău intenționate care redirecționează utilizatorii către site-uri web compromise. Odată ce fișierul este executat, malware-ul se descarcă în mod silențios, creează procese persistente și poate folosi nume legitime pentru a înșela utilizatorul.

Dacă instrumentul dvs. de securitate detectează un fișier rău intenționat numit SysWOW64 sau ceva similar, ar trebui să lăsați software-ul antivirus să se ocupe de eliminarea sau plasarea în carantină a componentelor infectate. Este important să nu atingeți folderul original C:\Windows\SysWOW64 dacă scanarea indică faptul că este curat.

Pași avansați pentru tratarea infecțiilor legate de SysWOW64

În situații mai grave, în special atunci când se lucrează cu ransomware, troieni persistenți sau mineri de criptomonede , poate fi necesară o curățare mai temeinică a sistemului. Cu toate acestea, orice manipulare manuală a fișierelor de sistem prezintă riscuri inerente și este recomandată numai utilizatorilor experimentați.

O tehnică obișnuită este repornirea computerului în Modul de siguranță cu rețea . În acest mediu redus, Windows încarcă doar serviciile esențiale, ceea ce face dificilă rularea sau reîncărcarea multor programe malware la pornire. De acolo, este mai ușor să localizați și să ștergeți procesele suspecte.

Pentru a face acest lucru în Windows 7, Vista sau XP, puteți reporni computerul și apăsa în mod repetat taste precum F8 (sau altele, în funcție de placa de bază) până când accesați Opțiuni avansate de pornire , unde este disponibil Modul de siguranță cu rețea. În Windows 8 și Windows 10 , procedura implică deschiderea Setărilor, accesarea Actualizări și securitate , accesarea secțiunii Recuperare și utilizarea opțiunii de pornire avansată pentru a accesa opțiunile de pornire, inclusiv Modul de siguranță.

Odată ce ați intrat în modul de siguranță, puteți utiliza Managerul de activități pentru a revizui procesele din fundal, a le localiza pe cele care par suspecte, a deschide locația lor de pe disc și, după finalizarea activității, a șterge fișierele asociate . Acest proces ar trebui completat de o scanare completă a sistemului utilizând un instrument anti-malware.

De asemenea, este util să verificați programele care rulează la pornire din fila „Pornire” din Managerul de activități, dezactivând orice intrări suspecte. În plus, puteți rula Curățarea discului Windows pentru a șterge fișierele temporare, descărcările inutile și alte rămășițe pe care unele programe malware le folosesc pentru a le ascunde.

Practici bune de securitate și backup

Deși SysWOW64 este o componentă legitimă, programele malware care îi exploatează numele pot deschide calea către atacuri mult mai complexe , cum ar fi ransomware-ul care criptează fișierele sau troienii care fură informații sensibile. De aceea, combinarea mai multor măsuri preventive este esențială.

În primul rând, este întotdeauna recomandabil să vă mențineți software-ul antivirus sau anti-malware actualizat , capabil să detecteze cele mai recente amenințări. Dar este, de asemenea, important să examinați critic e-mailurile pe care le primiți, să evitați deschiderea atașamentelor din surse dubioase și să fiți atenți la linkurile scurtate, ofertele care par prea bune ca să fie adevărate și descărcările de software neoficial.

Un alt nivel crucial de protecție este realizarea regulată a unor copii de rezervă ale datelor importante. Dacă ransomware-ul reușește să cripteze documentele, fotografiile sau proiectele dvs., o copie de rezervă recentă poate face diferența între recuperarea a tot și suferirea unor pierderi ireversibile.

În mediile în care confidențialitatea este un factor cheie, este logic să luați în considerare utilizarea unor VPN-uri de încredere pentru a preveni anumite tipuri de urmărire și a vă proteja conexiunea de atacurile asupra rețelelor publice. Deși acest lucru nu protejează direct împotriva SysWOW64 sau a imitatorilor săi, contribuie la îmbunătățirea securității generale a sistemului.

Când combinați practici bune de navigare, un sistem actualizat, un software de securitate fiabil și obiceiuri responsabile cu fișierele pe care le descărcați , reduceți considerabil probabilitatea ca programele malware să se deghizeze în nume precum SysWOW64 fără să observați.

Folderul SysWOW64 și tehnologia WOW64 sunt componente cheie care permit sistemului Windows pe 64 de biți să ruleze normal aplicații pe 32 de biți, bazându-se pe căi speciale precum SysWOW64, System32 și Program Files (x86), precum și pe chei de registry separate. Deși unii viruși exploatează aceste nume pentru a se ascunde, folderul original nu ar trebui șters niciodată. Ceea ce este cu adevărat important este combinarea analizei de securitate, a bunului simț și a copiilor de rezervă pentru a menține sistemul stabil, rapid și fără amenințări, fără a sacrifica compatibilitatea cu software-ul existent.