Kompмоя машина Windows 10 имеет большое количество NTFS Альтернативные Потоки Данных имени Win32App_1 прикреплено к различным папкам на системном диске. Детектор потока NoVirusThanks обнаруживает их как нулевой размер $DATA потоки.
кто-нибудь знает, что мог создать эти потоки?
автономное сканирование Защитника Windows не обнаруживает ничего нежелательного.
Я также вижу много Zone.Identifier $DATA потоки, хотя я уже знаю это просто потоки метаданных Windows для определения источника файла, загруженного из интернета. Я совсем не беспокоюсь о них.
я установил Windows 10 на чистый диск, поэтому они не были добавлены производителем. Я не могу публиковать примеры, потому что я уже удалил потоки.
обновление от 2017-04-18: я только что отсканировал свою машину снова, и альтернативные потоки данных вернулись. Использование more < C:pathtoalternate_data_stream:Win32App_1 показывает содержание потока, чтобы быть ничего, согласуется с результатами, сообщенными детектором потока NoVirusThanks. Я настроил монитор процессов SysInternals, чтобы искать процессы, которые создают / касаются этих альтернативных потоков данных, и обновит этот вопрос, если я увижу что-либо в результате этого мониторинга.
просто FYI, я уже сделал кучу исследований. Мой первый контакт с альтернативными потоками данных состоялся, когда NTFS была впервые анонсирована в начале 90-х. Я не так сильно беспокоюсь о фактических объявлениях сам по себе, так как они все нулевого размера, но более или менее это потенциально "канарейка в шахте" для некоторых вредоносных программ.
я запустил утилиту командной строки с открытым исходным кодом, которая идентифицирует и, возможно, удаляет альтернативные потоки данных NTFS. Проект является размещено на gitHub на случай, если кому-то это пригодится.
по состоянию на 10 мая, я был в состоянии наблюдать, что другие машины Windows 10 не принадлежит или коснулся меня есть альтернативные потоки данных с именем Win32App_1 добавленные в различных папках системного диска. Они, кажется, связаны с самой Windows 10. Я ожидаю, что они используются в каком-то процессе каталогизации.
2837
