Альтернативный поток данных “Win32App_1” прикреплён к большому количеству папок.

На моем компьютере с Windows 10 имеется большое количество альтернативных потоков данных NTFS, называемых Win32App_1, прикрепленных к различным папкам на системном диске. Программа Stream Detector от NoVirusThanks обнаруживает их как потоки размера ноль $DATA.

Кто-нибудь знает, что могло создать эти потоки?

Офлайн-сканирование Windows Defender ничего нежелательного не обнаруживает.

Я также вижу много потоков Zone.Identifier $DATA, хотя я уже знаю, что это просто метаданные Windows для идентификации источника файла, загруженного из Интернета. Меня это совершенно не беспокоит.

Я сам установил Windows 10 на пустой диск, так что они не были добавлены производителем. Я не могу привести примеры, так как уже удалил эти потоки.

Обновление на 2017-04-18: Я только что снова просканировал свой компьютер, и альтернативные потоки данных снова появились. Используя more < C:\path\to\alternate_data_stream:Win32App_1, я вижу, что содержимое потока пустое, что соответствует результатам, сообщенным Stream Detector от NoVirusThanks. Я настроил Process Monitor от SysInternals для отслеживания процессов, создающих или касающихся этих альтернативных потоков данных, и обновлю этот вопрос, если замечу что-либо в результате мониторинга.

Для вашего сведения, я уже провел массу исследований по этому поводу. Мой первый контакт с альтернативными потоками данных был, когда NTFS был впервые анонсирован в начале 90-х. Меня не настолько беспокоит сам ADS, так как они все имеют нулевой размер, сколько потенциально это может быть «канарейкой в угольной шахте» для какого-либо вредоносного ПО.

Я начал разработку утилиты командной строки с открытым исходным кодом, которая идентифицирует и по желанию удаляет альтернативные потоки данных NTFS. Проект размещен на gitHub, если кто-то найдет его полезным.

На 10 мая я смог наблюдать, что другие компьютеры с Windows 10, не находящиеся в моей собственности и не тронутые мной, имеют альтернативные потоки данных с именем Win32App_1, прикрепленные к различным папкам на системном диске. Похоже, что они связаны с самой Windows 10. Я предполагаю, что они используются в каком-то каталожном процессе.

Альтернативный поток данных Win32App_1 создается службой “Storage Service”, которая является частью операционной системы Windows. Версии этой службы до Windows 10, похоже, не создают этих потоков.

Если вы используете просмотрщик Portable-Executable, такой как инструмент dumpbin.exe, доступный в Visual Studio 2017, чтобы просмотреть разделы ресурсов %SystemRoot%\System32\StorSvc.dll, вы можете увидеть, что Win32App_1 упоминается несколько раз.

Я запускал Process Monitor от Sysinternals на протяжении недели, чтобы определить, какой процесс создавал альтернативные потоки данных Win32App_1. Он показал SvcHost.exe с командной строкой -k LocalSystemNetworkRestricted -s StorSvc как процесс, создающий потоки. Служба хранения, похоже, используется приложением “Хранилище” в приложении “Настройки”.

Я использовал следующие шаги, чтобы подтвердить, что служба хранения/настройки хранения являются источником потоков:

1. Я использовал свое приложение ADSIdentifier, чтобы идентифицировать и удалить все потоки с именем Win32App_1:
   командная строка: ADSIdentifier /folder:C:\ /pattern:Win32App_1 /r
2. Я остановил и снова запустил службу “Storage Service”.
   net stop "storage service"
net start "storage service"
3. Как только служба заработала, я открыл приложение “Настройки”, перешел в раздел “Хранилище”, щелкнул на моем системном диске (C:), чтобы отобразить детали “Использование хранилища” для диска.
4. Снова запустил ADSIdentifier и увидел, что потоки были восстановлены.
   командная строка: ADSIdentifier /folder:C:\ /pattern:Win32App_1

Главное правило вычислительной техники: Пустой файл или поток сам по себе не может представлять угрозу.

Тем не менее, возможно, что приложение (доброе или злонамеренное) придает смысл лишь существованию пустого файла или альтернативного потока, словно это сигнал на уровне файла. Опыт подсказывает мне, что это редко.

В этом случае я бы пошел по практическому пути: Составьте полный список файлов, имеющих эти потоки, удалите эти потоки, а затем будьте бдительны в течение нескольких дней, чтобы узнать, что их создает. Очень возможно, что они не будут восстановлены. Если вы столкнетесь с аномалией из-за утраты этих потоков, восстановите их, используя ваш список.