Що таке папки WOW64 та SysWOW64 і для чого вони використовуються у Windows?

Інформатек Діджитал » Ресурси » Що таке папки WOW64 та SysWOW64 і для чого вони використовуються у Windows?

Якщо ви коли-небудь відкривали диспетчер завдань Windows, тому що ваш комп'ютер працював повільніше, ніж зазвичай, ви, ймовірно, стикалися з дивними процесами, що посилаються на SysWOW64 або таємничу папку C:\Windows\SysWOW64 . Іноді здається, що вони навіть використовують багато пам'яті, ви не можете завершити завдання, і, звичайно ж, починають дзвонити тривожні дзвінки: "А що, якби це вірус?"

Крім того, коли ви намагаєтеся перейти до розташування файлу з диспетчера завдань, ви виявляєте, що папка містить сотні файлів .dll та .exe , розмір яких легко сягає кількох гігабайт. Що ще гірше, Windows не дозволяє видалити її, як будь-яку іншу папку. Зрозуміло, що це може викликати тривогу, але перше, що вам слід знати, це те, що SysWOW64 за замовчуванням не є вірусом , а радше критично важливою частиною операційної системи.

Що таке WOW64, SysWOW64, і чому існують ці дивні папки?

У сучасних системах Microsoft 64-розрядні версії Windows розроблені для сумісності як з 64-розрядними програмами, так і зі старими 32-розрядними програмами. Для досягнення цієї мети Windows інтегрує технологію під назвою WOW64 (Windows on Windows 64) , яка діє як своєрідний «перекладач» між 32-розрядними програмами та 64-розрядною операційною системою.

Цей компонент WOW64 забезпечує рівень сумісності , який дозволяє 32-розрядній програмі вважати, що вона працює на звичайній 32-розрядній системі Windows, навіть якщо насправді вона працює на 64-розрядній системі. Для досягнення цього система використовує комбінацію перенаправлення файлів і реєстру , а також набір бібліотек, які обробляють переклад і перемикання контексту між 32- та 64-розрядними системами.

Папка SysWOW64 є частиною цього механізму . У 64-розрядній системі Windows ви знайдете два основні системні каталоги: C:\Windows\System32 та C:\Windows\SysWOW64 . Незважаючи на назву, System32 містить 64-розрядні бібліотеки та виконувані файли, тоді як SysWOW64 зберігає 32-розрядні версії, необхідні для старіших програм.

Ця, здавалося б, суперечлива організація випливає з питання сумісності зі застарілим програмним забезпеченням . Багато розробників жорстко прописали шлях C:\Windows\System32 у свій код , вважаючи, що ця папка завжди міститиме системні бібліотеки. Щоб уникнути збоїв у роботі цього програмного забезпечення під час переходу на 64-розрядну версію, Microsoft вирішила, що System32 залишиться "головним" каталогом системи, який тепер містить 64-розрядні бінарні файли, і створила SysWOW64 для розміщення 32-розрядних.

Коротше кажучи, WOW64 та SysWOW64 дозволяють старішим 32-розрядним програмам працювати без змін у 64-розрядному середовищі, прозоро керуючи архітектурними відмінностями для користувача.

Відмінності між 32-розрядною та 64-розрядною Windows: оперативна пам'ять, програми та сумісність

Протягом багатьох років більшість комп'ютерів, що продавалися широкому загалу, використовували 32-розрядні архітектури та 32-розрядні версії Windows. У цих системах практичний ліміт корисної оперативної пам'яті зазвичай становить від 3 до 4 ГБ , оскільки частина адресного простору зарезервована для відеокарти та інших пристроїв.

З появою доступних 64-бітних процесорів та операційних систем, таких як Windows 7 та пізніших версій , ринок зробив величезний стрибок до 64-бітної архітектури. 64-бітна система Windows може обробляти значно більші обсяги пам'яті, досягаючи десятків або навіть сотень гігабайт оперативної пам'яті в деяких версіях , що відкриває шлях для більш вимогливих програм та покращує загальну продуктивність, особливо в професійному середовищі.

На 64-бітній системі ви можете запускати рідні 64-бітні програми , а завдяки WOW64 також класичні 32-бітні програми. Емулятор WOW64 гарантує, що 32-бітна програма все ще бачить середовище, подібне до 32-бітної системи Windows, з власними бібліотеками та системними шляхами , навіть якщо під капотом все працює по-іншому.

Більшості 32-розрядних програм не потрібно знати, чи вони насправді працюють на 32-розрядній чи 64-розрядній системі. Лише у дуже специфічних випадках, коли програмному забезпеченню потрібно розрізняти архітектури, воно може вдатися до певних API Windows , щоб з'ясувати це. Для пересічного користувача важливо те, що, як правило, нічого особливого робити не потрібно : система обробляє це автоматично.

Однак є деякі важливі винятки . Деякі дуже низькорівневі програми, такі як багато старих антивірусних програм, драйверів або інструментів безпеки, що безпосередньо взаємодіють з ядром, потребують певних 64-розрядних версій для коректної роботи в 64-розрядній системі Windows. У цих випадках 32-розрядна версія може бути несумісною або мати значні обмеження.

Папки System32, SysWOW64 та Program Files: що містить кожна з них

Під час встановлення 64-розрядної версії Windows на сумісний комп’ютер з’являється кілька системних і програмних папок , що спочатку може заплутати. На рівні диска основні шляхи, які вам слід знати, такі:

• C: \ Windows \ System32Системна папка Windows, яка в 64-розрядній системі зберігає 64-бітні двійкові файли (виконувані файли та DLL-бібліотеки).
• C: \ Windows \ SysWOW64: системна папка, зарезервована для 32-бітні файли що використовують 32-розрядні програми під керуванням WOW64.
• C:\Program Files (o C: \ Program Files): каталог, призначений для 64-розрядні програми та пов'язані з ним файли.
• C:\Program Files (x86) (o C: \ Program Files (x86)): папка, де 32-розрядні програми на 64-розрядній системі Windows.

Найбільш загадковою деталлю є те, що папка System32 містить 64-бітний код , тоді як SysWOW64 містить 32-бітні файли. Це повна протилежність тому, що можна було б очікувати, дивлячись лише на назви. Причина, як уже згадувалося, полягає в збереженні сумісності зі старішим програмним забезпеченням , яке очікує пошуку системних ресурсів у System32.

На практиці Windows прозоро перенаправляє багато викликів диска. Коли 32-розрядна програма намагається отримати доступ до C:\Windows\System32 , підсистема WOW64 перенаправляє цей запит до C:\Windows\SysWOW64 , тому програма завантажує відповідні 32-розрядні бібліотеки, не помічаючи цього трюку.

Щодо папок програм, відбувається щось подібне. 64-розрядні програми за замовчуванням встановлюються в Program Files , тоді як 32-розрядні програми потрапляють до Program Files (x86) . Якщо інсталятор добре розроблений, він виявляє архітектуру системи та розміщує кожен бінарний файл у правильній папці, щоб уникнути конфліктів.

Хоча програма іноді може працювати, навіть якщо ви розмістите її в «неправильній» папці, завжди краще дотримуватися цієї структури . Якщо програма запитує у Windows шлях до «Program Files», а ви встановили її в неправильному місці, вона може почати шукати допоміжні файли в неправильному каталозі та виникати збої, які важко діагностувати.

Що означають WOW64 та x86: трохи історії

Термін WOW64 походить від «Windows on Windows 64», що можна розуміти як «32-розрядна Windows, що працює поверх 64-розрядної Windows». Це компонент, який дозволяє 32-розрядним програмам запускатися на 64-розрядній операційній системі без необхідності будь-якого спеціального втручання користувача. Це досягається шляхом забезпечення рівня сумісності, який перетворює виклики між двома операційними системами.

Для виконання своєї роботи WOW64 покладається на кілька дуже специфічних бібліотек динамічного компонування (DLL) :

• wow64.dll: діє як основний інтерфейс, перетворюючи 32-бітні виклики на їхні 64-бітні еквіваленти.
• wow64win.dll: надає точки входу, які програми використовують для взаємодії з 64-бітною підсистемою.
• wow64cpu.dllВін відповідає за керування зміною режиму виконання між 32 та 64 бітами в процесорі.

З іншого боку, термін x86 стосується сімейства процесорів Intel (8086, 80186, 80286, 80386 тощо), які використовували сумісний набір інструкцій. З часом, і особливо після появи легендарного 80386, його використання стало поширеним для позначення 32-розрядних архітектур, сумісних з цим набором інструкцій . Сьогодні, коли ви бачите «x86», це майже завжди означає «32-розрядний».

Ця угода про іменування відображається у Windows у папці Program Files (x86) , що чітко вказує на те, що це каталог, зарезервований для 32-розрядного програмного забезпечення . Натомість папка Program Files без суфікса пов'язана з 64-розрядними програмами.

System32, SysWOW64 та реєстр Windows

Співіснування 32- та 64-розрядних програм впливає не лише на папки з файлами, але й на сам реєстр Windows . Так само, як існують окремі шляхи для 32- та 64-розрядних двійкових файлів, існують різні ключі для розділення конфігурації кожного типу програм.

У 32-розрядних (x86) системах записи про видалення програм зазвичай зберігаються в ключі:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Uninstall

У 64-розрядних (x64) системах Windows додає додатковий вузол під назвою Wow6432Node для обробки 32-розрядних програм, що працюють під керуванням WOW64. У цьому випадку типовий шлях видалення 32-розрядних програм буде таким:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall

Таким чином, система розділяє 32- та 64-бітні конфігурації та посилання , запобігаючи легкому втручанню однієї програми в іншу просто шляхом спільного використання імені ключа або значення. Це особливо важливо для інсталяторів, оновлень та інструментів віддаленого обслуговування, яким потрібно розрізняти, яка версія програми встановлена. Якщо вам потрібно примусово видалити програму або очистити проблемні записи реєстру, існують спеціальні посібники, які пояснюють, як це зробити правильно.

Чи є SysWOW64 вірусом, чи його можна просто видалити?

Одна з найпоширеніших побоювань полягає в тому, що папка SysWOW64 є вірусом або чимось небезпечним, оскільки вона займає багато місця, відображається в диспетчері завдань і її важко видалити . Насправді SysWOW64 — це легітимна системна папка, необхідна для роботи 64-розрядної Windows.

За звичайних обставин SysWOW64 зберігає 32-розрядні DLL- та exe-файли, необхідні програмам, що працюють під керуванням WOW64. Вони можуть займати кілька гігабайт, а деякі користувачі повідомляли про розміри, що наближаються до 40 ГБ , особливо на старіших системах з багатьма встановленими програмами. Це може призвести до уповільнення роботи комп'ютера або нестачі місця на диску; щоб звільнити місце, ви можете ознайомитися з інструкціями щодо видалення непотрібних програм у Windows 11, але це не обов'язково означає, що файл шкідливий.

Може статися так, що розробники шкідливого програмного забезпечення використовують назву SysWOW64, щоб замаскувати свої творіння. Іншими словами, вони не маніпулюють оригінальною системною папкою, а натомість створюють файли або процеси з дуже схожими назвами, щоб уникнути виявлення. Таким чином, нічого не підозрюючий користувач може сплутати трояна зі справжнім системним компонентом.

Якщо ви підозрюєте, що щось не так, рекомендується просканувати вашу систему за допомогою хорошої, оновленої антивірусної або антишпигунської програми та виконати повне сканування. Такі інструменти, як Malwarebytes та інші відомі продукти безпеки, можуть виявляти шкідливі процеси, які намагаються замаскувати себе за допомогою імен системних файлів.

Якщо повне сканування програмним забезпеченням безпеки не виявить жодних загроз, пов’язаних із SysWOW64, немає сенсу намагатися видалити папку. Фактично, видалення SysWOW64 вручну може зробити Windows непридатною для використання або спричинити серйозні помилки під час спроби запуску 32-розрядних програм.

Як визначити, чи є SysWOW64, який ви бачите, легітимним, чи шкідливим програмним забезпеченням

Навіть якщо каталог C:\Windows\SysWOW64 є легітимним, ніщо не заважає шкідливому програмному забезпеченню використовувати таке саме або дуже схоже ім'я в іншому місці або зареєструватися як фоновий процес для надмірного споживання ресурсів процесора та пам'яті . Це поширена техніка, особливо серед троянців та криптомайнерів.

Явною ознакою того, що щось не так, є те, що комп’ютер починає працювати надзвичайно повільно, вентилятор обертається без видимої причини або використання процесора постійно зростає вище 80-90%. Якщо ви бачите в диспетчері завдань процеси з назвами, пов’язаними з SysWOW64, та непропорційним споживанням ресурсів, варто це дослідити.

На цьому етапі ви можете клацнути правою кнопкою миші на процесі та вибрати "Відкрити розташування файлу ". Якщо виконуваний файл не знаходиться у звичайному системному шляху або знаходиться в підозрілій папці в AppData, Temp чи іншому незвичному місці, дуже ймовірно, що це замасковане шкідливе програмне забезпечення, що маскується під компонент Windows.

Окрім ручного сканування, повне сканування за допомогою пакета засобів безпеки є важливим . Багато троянських програм поширюються через електронні листи із зараженими вкладеннями, піратські завантаження, кряки, кейгени або шкідливу рекламу, яка перенаправляє користувачів на скомпрометовані веб-сайти. Після виконання файлу шкідливе програмне забезпечення непомітно завантажується, створює постійні процеси та може використовувати легітимні імена для обману користувача.

Якщо ваш інструмент безпеки виявить шкідливий файл з назвою SysWOW64 або щось подібне, вам слід дозволити антивірусному програмному забезпеченню видалити або помістити в карантин заражені компоненти. Важливо не торкатися оригінальної папки C:\Windows\SysWOW64, якщо сканування показує, що вона чиста.

Додаткові кроки для лікування інфекцій, пов'язаних із SysWOW64

У серйозніших ситуаціях, особливо при роботі з програмами-вимагачами, постійними троянами або майнерами криптовалюти , може знадобитися ретельніше очищення системи. Однак будь-яке ручне маніпулювання системними файлами несе в собі певні ризики та рекомендується лише досвідченим користувачам.

Поширеним методом є перезавантаження комп’ютера в безпечному режимі з підтримкою мережі . У цьому обмеженому середовищі Windows завантажує лише важливі служби, що ускладнює запуск або перезавантаження багатьох шкідливих програм під час запуску. Звідси легше знаходити та видаляти підозрілі процеси.

Щоб зробити це у Windows 7, Vista або XP, ви можете перезавантажити комп’ютер і кілька разів натискати клавіші, такі як F8 (або інші, залежно від материнської плати), доки не отримаєте доступ до додаткових параметрів запуску , де доступний безпечний режим з підтримкою мережі. У Windows 8 та Windows 10 процедура включає відкриття налаштувань, перехід до розділу «Оновлення та безпека» , вхід до розділу «Відновлення» та використання додаткових параметрів запуску для доступу до параметрів завантаження, включаючи безпечний режим.

У безпечному режимі ви можете скористатися диспетчером завдань для перегляду фонових процесів, пошуку тих, що здаються підозрілими, відкриття розташування їх на диску та, після завершення завдання, видалення пов’язаних файлів . Цей процес слід доповнити повним скануванням системи за допомогою засобу захисту від шкідливих програм.

Також корисно переглянути програми, що запускаються під час запуску системи, на вкладці «Автозавантаження» диспетчера завдань, вимкнувши будь-які підозрілі записи. Крім того, ви можете запустити програму очищення диска Windows, щоб видалити тимчасові файли, непотрібні завантаження та інші залишки, які деякі шкідливі програми використовують для приховування.

Належні методи безпеки та резервного копіювання

Хоча SysWOW64 є легітимним компонентом, шкідливе програмне забезпечення, яке використовує його назву, може відкрити шлях для набагато складніших атак , таких як програми-вимагачі, які шифрують ваші файли, або трояни, які крадуть конфіденційну інформацію. Саме тому поєднання кількох запобіжних заходів є ключовим.

По-перше, завжди рекомендується оновлювати антивірусне або антивірусне програмне забезпечення , здатне виявляти найновіші загрози. Але також важливо критично переглядати електронні листи, які ви отримуєте, уникати відкриття вкладень із сумнівних джерел та остерігатися скорочених посилань, пропозицій, які здаються надто гарними, щоб бути правдою, та завантажень неофіційного програмного забезпечення.

Ще один важливий рівень захисту – це регулярне резервне копіювання важливих даних. Якщо програма-вимагач зашифрує ваші документи, фотографії чи проекти, наявність нещодавньої резервної копії може означати різницю між відновленням усіх даних та безповоротною втратою.

У середовищах, де конфіденційність є ключовим фактором, має сенс розглянути використання перевірених VPN , щоб запобігти певним типам відстеження та захистити ваше з’єднання від атак у публічних мережах. Хоча це не захищає безпосередньо від SysWOW64 або його імітаторів, це сприяє покращенню загальної безпеки системи.

Коли ви поєднуєте належні методи перегляду веб-сторінок, актуальну систему, надійне програмне забезпечення безпеки та відповідальні звички із завантаженими файлами , ви значно зменшуєте ймовірність того, що шкідливе програмне забезпечення маскується під такими назвами, як SysWOW64, непомітно для вас.

Папка SysWOW64 та технологія WOW64 є ключовими компонентами, які дозволяють 64-розрядній Windows нормально запускати 32-розрядні програми, спираючись на спеціальні шляхи, такі як SysWOW64, System32 та Program Files (x86), а також окремі розділи реєстру. Хоча деякі віруси використовують ці назви, щоб приховати себе, оригінальну папку ніколи не слід видаляти. Що справді важливо, так це поєднання аналізу безпеки, здорового глузду та резервного копіювання, щоб ваша система працювала стабільно, швидко та без загроз, не жертвуючи сумісністю з вашим існуючим програмним забезпеченням.