Hallo.
Ich habe heute eine merkwürdige Entdeckung gemacht.
Es werden im Datei-Öffnen und im Explorer Fenster verschiedene Dateiinformationen und Größen angezeigt.

Wenn ich die Datei im Dateiöffnen-Dialog auf Virustotal.com zum scannen uppe, dann erscheint dort eine völlig andere Datei, als wenn ich im selben Pfad aus dem Explorer die Datei via Drag und Drop in ein Fenster von Virustotal.com ziehe, um es dann dort auch scannen zu lassen.

Es geht um die Datei searchprotocolhost.exe in diesem Beispiel.
Sie ist einmal ~160kb und einmal ~250kb groß. Auch im Online Browser.
Dieser scheint aber nur die md5 hash zu überprüfen, es wurde nichts hochgeladen, meine Übertragungsgeschwindigkeit beträgt maximal 70kb / sek.
Die Datei poppt aber sofort im Virustotal.com auf. Das nur zu Info.

Vielleicht kann mir einer in diesem Phänomen verdeutlichen, ob es sich dabei um einen Fehler im BS: Win7 handelt , oder ob das ein Fakeverzeichnis ist, was hier angezeigt wird.
Oder ein Fehler.
Bei beiden "Scans" fand der Onlinevirenscanner nichts.

MFG
schokack

???

Alle Dateien aus meinem System32 Verzeichnis haben diese merkwürdigen Dateigrößen, welche sich vom DateiÖffnen Dialog eines beliebigen Programmes mit dem im Win-Explorer unterscheiden.

Doch NTFS-Fehler?

Hallo,

das ist natürlich kein NTFS-Fehler, sondern stammt aus der Zeit, als die gute, alte Firma
IBM auf ihren PC-Systemen unter OS/2 im Filesystem HPFS die sogenannten ea's, die Erweiterten Attribute, einführte.

Das kann man sich bildlich wie eine Schattendatei zu jeder physisch wirklich vorhandenen Datei vorstellen,
die allerdings auch den gleichen Namen wie die Ursprungsdatei hat und in der Regel nicht separat angezeigt wird.

Wie der Name schon sagt, werden darin besondere Attribute dieser Datei verwaltet.
Das können Versionsinformationen, Generationsinformationen, Länderinformationen..alles mögliche sein.

Der Explorer zeigt Dir die Dateigrösse inklusive der Attribute an.
Andere Programme blenden die aus und zeigen nur die echte Grösse an.

Ich habe Dir als Beispiel mal genau Deinen Auszug aus der System32 angehängt.
Einmal im Explorer, und darunter gelegt die gleiche Anzeige im SpeedCommander, aber ohne Attribute.

Dir wird sofort auffallen, dass im Explorer nicht nur die Dateigrössen immer mehr oder weniger grösser sind,
sondern auch die Änderungszeiten immer jünger als im SpeedCommander sind.

Und das kommt durch diese erweiterten Attribute. Denn auch eine Änderung der Attribute ist für Windows eine Änderung der Datei,
auch wenn die eigentliche Datei überhaupt nicht geändert wurde.

Gruss

Werner

Nochmal Hallo,

um das Ganze noch ein wenig mehr zu entwirren (oder verwirren?), der Explorer zeigt Dir Dateien auch an Orten an,
an denen sie sich physisch gar nicht befinden.

Mir ist beim nochmaligen Checken meiner Hardcopy von eben folgendes aufgefallen:
Der Explorer zeigt eine SECLOGON.DLL an, der SpeedCommander nicht.
Also bin ich auf die Suche gegangen und natürlich auch fündig geworden (siehe Anhang).

Die liegt physisch im WINSX-Verzeichnis. Warum das so ist - keine Ahnung.

Aber am Rande bemerkt: In diversen Foren taucht immer wieder gern die Frage auf,
wofür dieses Verzeichnis denn gut sei und ob man es nicht löschen könnte.
Ich wusste bisher ehrlich gesagt auch keine Antwort darauf und habe jedem geraten, lieber die Finger davon zu lassen.

Dies hier scheint ein durch Zufall gefundenes schönes Beispiel zu sein, warum man dieses Verzeichnis besser nicht löscht.

Gruss

Werner

Dann ist es also kein Trojaner (oder so) und ich bin äußerst entleichtert!
Danke für die Antwort zu so später Stund.
Je später der Abend, desto unkonzentrierter wird man.
Aber zum Glück hast du mich aufgeklärt.
Hatte schon Schiss in der Hose.

Vielen Dank.

"Fast" richtig !

Es kommt darauf an, ob die Anwendung, die auf die Datei zugreift, eine 32 oder 64 bit Version ist.

Bei Zugriffen auf c:\windows\system32\ durch 32-bit Anwendungen, werden die Zugriffe automatisch nach c:\windows\syswow64\ gemappt. Das passiert transparent.

https://de.wikipedia.org/wiki/WOW64