Vedo un comportamento strano sul mio computer con Windows 7; sembra che quando un eseguibile viene eseguito, SYSTEM mantiene aperto un handle per il minuto successivo. Ecco il mio incontro più recente:
Ho installato Steam, che avvia steam.exe dopo l'installazione per aggiornarsi. Sembra farlo scrivendo una copia temporanea di se stesso, avviandolo per eseguire il download, quindi sovrascrivendo la copia originale dell'eseguibile. Nel mio caso questo non è riuscito, sostenendo che steam.exe non può essere eliminato.
Ho aperto la cartella e ho cercato di eliminare manualmente steam.exe, ma Windows ha affermato che non avevo l'autorizzazione. Il mio account è un amministratore ed è l'unico account utente su questa macchina. Ma per ogni evenienza, ho avviato Explorer come amministratore, ma non riesco ancora a eliminare il file. Ho portato le proprietà del file nella scheda Sicurezza, ma mostrava solo un messaggio che diceva che non avevo l'autorizzazione per visualizzare le autorizzazioni.
Successivamente, ho richiamato Process Explorer per vedere se qualcosa aveva un blocco sul file. SYSTEM (PID 4) ha funzionato, ma quando ho tentato di chiudere l'handle del file, ha prodotto un errore che indicava che l'handle non era valido. Ho provato a visualizzare le proprietà dell'handle del file, ma non avevo neanche il permesso di farlo.
Ho terminato tutto tranne i processi di sistema non terminabili e ho interrotto tutti i servizi che sono in grado di fare, compresi tutto ciò che riguarda AV e firewall, ma il problema continua ad apparire. Ho provato a usare 'takeown' per darmi la proprietà del file, ma afferma che non ho il permesso di farlo. Altre persone hanno affermato il successo usando uno strumento chiamato "Unlocker", ma aveva lo stesso problema di Process Explorer nel chiudere l'handle del file.
Molto tempo fa ho disabilitato l'indicizzazione e la ricerca di Windows e ho escluso C: \ dall'indicizzazione, quindi la risposta a questa domanda non mi riguarda.
Ogni volta, dopo circa un minuto, la maniglia scompare e il file viene immediatamente eliminato; a quanto pare il tentativo del programma di aggiornamento di eliminarlo è stato messo in coda e alla fine è terminato una volta che il file non era più bloccato. Purtroppo l'aggiornamento è già terminato e non può riprendere. E quando lo reinstallo, ovviamente prova a eseguire di nuovo steam.exe e torno al punto di partenza.
La mia domanda è: perché queste maniglie sono in giro e come posso impedirle di farlo?
Modifica: ecco ulteriori informazioni come richiesto dai commenti:
C:\>fltmc instances
Filter Volume Name Altitude Instance Name Frame VlStatus
-------------------- ------------------------------------- ------------ --------------------- ----- --------
KLIF \Device\Mup 320400 KLIF 0
KLIF C: 320400 KLIF 0
KLIF 320400 KLIF 0
luafv C: 135000 luafv 0
FileInfo \Device\Mup 45000 FileInfo 0
FileInfo C: 45000 FileInfo 0
FileInfo 45000 FileInfo 0
Modifica: GMER indica che il mio antivirus (Kaspersky) è ancora attivo in qualche modo, nonostante lo disabiliti dalla sua stessa interfaccia grafica e il suo servizio venga interrotto.
AttachedDevice \Driver\tdx \Device\Ip kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\tdx \Device\Tcp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\tdx \Device\Udp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\tdx \Device\RawIp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
Ma tutto ciò sembra essere per i servizi di rete; Non vedo nulla relativo al filesystem. Qualcuno di questi potrebbe essere la causa del problema?
Modifica: ho disabilitato il filtro Kaspersky KLIF, ma il problema di blocco rimane.
Modifica: ho risolto il problema specifico con Steam installando, terminando forzatamente il programma di installazione prima che potesse avviare steam.exe, quindi riavviare in modalità provvisoria ed eseguirlo lì. Quindi apparentemente qualunque cosa blocchi l'eseguibile non è presente in modalità provvisoria.
Anche se ho risolto questo caso particolare, il problema si presenta anche altrove, quindi mi piacerebbe ancora capire cosa sta succedendo.
fltmcse si tratta di filtri legacy che sarebbe necessario uno strumento come GMER per elencare gli oggetti filtrati. So che non è lo scopo principale di GMER, ma può essere utilizzato in questo modo. C'era anche qualche strumento da OSR, ma non ricordo il suo nome. Risponderò di nuovo se ricordo.