Что за файлы типа {7D64D71A-....-B0EABC2A1ED9} появляются в паке Windows??

[Volchek]

На нескольких машинах обнаружил, что в системном каталоге повляются файлы с подобными именами, причем они могут быть как относительно небольшими, так и многогигабайтными!
Вот, например, на одной из машин их довольно много и разной степени свежести, причем один - 5,5Гб

https://i6.imageban.ru/thumbs/2023.01.25/5efb5c14e726e3dcc064185393139e7f.png (https://imageban.ru/show/2023/01/25/5efb5c14e726e3dcc064185393139e7f/png)

А на другой, включенной 24/7, за которой в это время никто не работал, сегодня ночью появился файл размером и вовсе в 16,7Гб!

https://i7.imageban.ru/thumbs/2023.01.25/a4b4b75186ffd80f47283c188a2bff2b.png (https://imageban.ru/show/2023/01/25/a4b4b75186ffd80f47283c188a2bff2b/png)

Cleanmgr их игнорирует. Что это вообще за чертовня и что с ней делать? Можно ли их безопасно удалить и как предотвратить появление подобного в дальнейшем?

[Avatar-Lion]

Хм... Интересно. Посмотрел сейчас у себя на домашнем ПК, но таких файлов не нашлось. Ни обычных, ни скрытых, ни системных.

Вообще, судя по объему, это какие-то архивы, можно попробовать открыть их через тот же WinRAR или 7-Zip, возможно, по содержимому получится понять что это такое. Также можно заглянуть в журнал системы, дабы проверить нет ли каких записей, по времени совпадающих с датой создания этих файлов.

[Volchek]

Avatar-Lion,
Эти файлы не помечены как скрытые или системные. На локальной машине я их спокойно временно переместил на другой раздел, посмотрим как будет себя вести система. На удалённых машинах пока опасаюсь, не хотелось бы ехать и запускать их вручную, в случае чего. ;-)
Как архивы эти файлы открываться не хотят, по крайней мере WinRAR или 7-Zip или Universal Extractor. В журнале машины, где этот 16-гигабайтный файл создался сегодня ночью единственное подозрение падает на близкий по времени процесс Defrag, на других машинах посмотреть нельзя, так как файлы уже достаточно старые и соответствующие журналы потёрты.

[NickM]

Что это вообще за чертовня и что с ней делать? »
Защитное ПО от "Micorosft"?
Иногда оное генерит много "мусора".

[Volchek]

NickM,
Как раз нет, стоит Каспер - на 2х машинах с такими файлами - KES, на 2х других - KSOS.

Сейчас ещё обратил внимание на то, что Regedit этих файлов в реестре не находит, даже свежего сегодняшнего

После удаления этих файлов из каталога Windows на локальной машине и ребута никакой ругани в системных журналах не возникло, вроде всё работает по-прежнему.
Наблюдаю.

UPD Ради любопытства заархивировал файлы WinRARом - ужались примерно в 5 раз, так что в них точно не архивы.

[Avatar-Lion]

Volchek, упакуйте в архив самый маленький файл и залейте на хостинг какой-нибудь.

[Volchek]

Avatar-Lion,
Вуаля (https://transfer.sh/HjWk1S/%7BC52BDBB3-E5E3-11EA-B605-408D5CD8C073%7D.rar)

[Avatar-Lion]

Volchek, В принципе, можно попробовать через Excel открыть такой файл, но внутри натуральная каша будет: имена файлов, пути к ним, обрывки текста (даже на русском в одном месте), параметры в реестре и пути к ним, адреса веб-сайтов... Это какой-то лог, причем в него явно всё подряд попадает. На ум приходит либо телеметрия Windows, либо тот же Каспер... Либо это какой-то криво сделанный троян, который собирает вообще все данные подряд, только непонятно с какой целью.

[dmitryst]

внутри натуральная каша »
подтверждаю...
Volchek, никакими программами восстановления не пользовались? У меня такое ощущение, что это несколько соседних кластеров, что в них попало, то и попало... Кто владелец файлов?

[Volchek]

Avatar-Lion,
Да ужжжж.... Открыл, посмотрел - действительно компот из логов, в том числе системных, частей текстовых файлов и ещё б-г знает чего!
Про троян я сомневаюсь - машины многожды проверены сканерами разных фирм и маловероятно, что троян с 2017 года смог бы выжить, хотя, чего не бывает... Телеметрия тоже сомнительно - на других то машинах сети, где Ось устанавливалась тогда же и с того же корпоративного дистрибутива, этого безобразия нет. Но зато имеется на одной из машине под Win 8.1? расположенной в другой сети и в другой локации.
А вот Каспер... Он либо там стоит, либо стоял. Только пока неясно, что с этим делать, кроме ручного удаления, да и внезапное появление гигантских файлов на системном SSD в 128Г может однажды грохнуть систему.

[Grabber2006]

У меня Каспер стоит, таких файлов нет.

[Volchek]

dmitryst,
Если имеете в виду восстановление потерянных файлов? Тогда нет. И уж точно не сегодняшней ночью, когда был создан 16Гб монстр.
Grabber2006,
Хз, может какая-то фишка корпоративных версий, на этих компах домашних версий нет. Ну или "удачное" сочетание Каспера с каким-то другим софтом..

[dmitryst]

Volchek, да, я имел в виду, программу закрыли, а процесс остался (ну не обязательно восстановление, дефрагментатор, чистильщики диска и т.п.). Владелец этих файлов таки кто?
фишка корпоративных версий »
не-не, у меня на сервере корпоративная версия с десяток лет уже, разные версии, ничего подобного нет. (хотя, без гарантии, у меня только минимальный функции используются)

[Volchek]

dmitryst,
Ну не знаю. Пока других подозреваемых нет, но может еще и появятся.

[bredych]

Как архивы эти файлы открываться не хотят »
а заголовок листером прочтите
Ну или сюда слейте несколько символов..
Обычно по заголовку можно предположить, что это вообще за птица

Защитное ПО от "Micorosft"? »
логи чего-то? Или о чем вы?
впрочем, может, конечно, и содержимое всех изменений на диске (то, что ранее лежало в сисволюминфо), в корне ось выплюнула.. По обьёмам так как раз похоже..

[Volchek]

bredych,
Так я выкладывал уже один из файлов в сообщении #7. Сам я не настолько копенгаген, чтобы разобраться по заголовку, но ваше предположение про сисволюминфо выглядит вероятным. Хотя остается непонятным, почему на некоторых машинах это редко, но происходит, а на других нет. Хотелось бы найти причину, да и устранить!

[sputnikk]

такие должны быть в C:\System Volume Information

[Volchek]

sputnikk,
Ну еще один подозреваемый, учитывая размеры файлов, - процесс дефрагментации... Но вот что совсем непонятно, это то, что эти файлы появляются в директории C:\Windows.

[dmitryst]

процесс дефрагментации »
вот и я про то же... такое ощущение, что в эти файлы попадает содержимое соседних кластеров, типа что нашли, то и записали...
Какой софт установлен на проблемных компах? Может, исходя из этого, что-то прояснится.

[sputnikk]

может это не файлы, а символические ссылки на них? или не может быть?