Was ist C: \ $ -Verzeichnis?

Update: Ich habe dieses Problem weiter untersucht (da ich auf meinem eigenen Computer dasselbe Verhalten festgestellt habe und mir Sorgen machte, dass es sich um eine Art Malware handelt), und jetzt glaube ich, dass meine ursprüngliche Antwort tatsächlich falsch war. Folgendes habe ich jetzt gefunden:

1. Mehrere verschiedene Prozesse lesen aus dieser Datei und aus unterschiedlichen Offsets, jedoch mit derselben Länge: 4 KB (genau eine Speicherseite).
2. Es gibt ReadFile-Operationen, aber kein Öffnen der Datei, was wenig Sinn macht.
3. Wenn ich mir die Stack-Ablaufverfolgung anschaue, sehe ich, dass alle Anforderungen einen Seitenfehler in der Ablaufverfolgung enthalten, z. B. ist diese Datei innerhalb einer IoPageRead()Kernel-Funktion enthalten, die Seiten aus der Auslagerungsdatei in den Speicher liest.
4. Diese Lesevorgänge finden in C: \ $ Directory und V: \ $ Directory auf meinem System statt, auf den beiden Laufwerken, auf denen Auslagerungsdateien gespeichert sind, und sonst nirgendwo.

Basierend auf diesen Untersuchungen bin ich fest davon überzeugt, dass dieses "Lesen von Dateien" eine Art Prozessmonitor-Artefakt ist und das eigentliche Lesen in der Auslagerungsdatei stattfindet. Ich habe keine Ahnung, warum ProcMon den Pfad als C: \ $ Directory aufführt.

Ich denke jetzt nicht, dass dieses C: \ $ Directory eine echte NTFS-Metadatei ist . Ich glaube jetzt nicht, dass dies eine unzulässige Aktivität sein könnte (Viren oder andere Malware).

$ Directory und $ MapAttributeValue sind höchstwahrscheinlich Code-Namen für Systembereiche auf der NTFS- Platte, und diese Verweise stammen von Programmen, die Dateien öffnen oder erstellen.

Diese Namen beziehen sich wahrscheinlich auf Metafiles, die von Wikipedia als definiert werden:

NTFS enthält mehrere Dateien, die das Dateisystem definieren und organisieren. Die meisten dieser Dateien sind in jeder Hinsicht wie jede andere Benutzerdatei strukturiert ($ Volume ist die eigentümlichste), sind aber für Dateisystemclients nicht direkt von Interesse. Diese Metadateien definieren Dateien, sichern wichtige Dateisystemdaten, puffern Dateisystemänderungen, verwalten freien Speicherplatz, erfüllen die BIOS-Erwartungen, verfolgen fehlerhafte Zuordnungseinheiten und speichern Informationen zur Sicherheit und zum Speicherplatz. Der gesamte Inhalt befindet sich in einem unbenannten Datenstrom, sofern nicht anders angegeben.

$ Directory ist höchstwahrscheinlich die Master File Table (MFT), dh das Verzeichnis für alle Dateien und Ordner, in denen als Metadaten Dateiname, Erstellungsdatum, Zugriffsberechtigungen (durch Verwendung von Zugriffssteuerungslisten) und Größe gespeichert werden. Jedes Programm, das eine Datei oder einen Ordner öffnet oder erstellt, greift auf diesen Bereich der Festplatte zu.

$ MapAttributeValue ist höchstwahrscheinlich der Bereich Attributlisten, der wie folgt beschrieben wird:

Für jede im MFT-Datensatz beschriebene Datei (oder jedes Verzeichnis) gibt es ein lineares Repository mit Stream-Deskriptoren (auch benannten Attributen), die in einem oder mehreren MFT-Records (die sogenannte Attributliste enthalten) gepackt sind, wobei das Auffüllen mit zusätzlichen Auffüllungen gefüllt wird 1 KB Größe jedes MFT-Datensatzes, und dies beschreibt vollständig die effektiven Streams, die dieser Datei zugeordnet sind.