Estou vendo um comportamento estranho na minha máquina com Windows 7; parece que quando um executável é executado, o SYSTEM mantém um identificador para ele aberto pelo próximo minuto ou mais. Aqui está meu encontro mais recente:
Eu instalei o Steam, que inicia o steam.exe após a instalação para se atualizar. Ele parece fazer isso escrevendo uma cópia temporária de si mesmo, iniciando isso para executar o download e, em seguida, sobrescrevendo a cópia original do executável. No meu caso, isso falhou, alegando que o steam.exe não poderia ser excluído.
Eu abri a pasta e tentei apagar o steam.exe manualmente, mas o Windows alegou que eu não tinha permissão. Minha conta é um administrador e é a única conta de usuário nesta máquina. Mas, por precaução, iniciei o Explorer como Administrador, mas ainda não consegui excluir o arquivo. Eu trouxe as propriedades do arquivo para a guia Segurança, mas ele mostrou apenas uma mensagem dizendo que eu não tinha permissão para ver as permissões.
Em seguida, eu abri o Process Explorer para ver se alguma coisa tinha um bloqueio no arquivo. SYSTEM (PID 4) fez, mas quando eu tentei fechar o identificador de arquivo, produziu um erro informando que o identificador era inválido. Tentei ver as propriedades do manipulador de arquivos, mas também não tive permissão para fazer isso.
Eu terminei tudo, exceto os processos do sistema que não podem ser terminados, e interrompi todos os serviços que eu consegui, incluindo tudo AV & relacionado ao firewall, mas o problema continua aparecendo. Eu tentei usar 'takeown' para me dar a propriedade do arquivo, mas ele afirma que eu não tenho permissão para fazer isso. Outras pessoas reivindicaram o sucesso usando uma ferramenta chamada 'Unlocker', mas ele teve o mesmo problema que o Process Explorer em fechar o identificador de arquivos.
Há muito tempo, desabilitei a indexação do Windows & Pesquise e exclua C: \ da indexação, para que a resposta a esta pergunta não seja me aplique.
Toda vez, depois de aproximadamente um minuto, o identificador desaparece e o arquivo é imediatamente excluído; aparentemente, a tentativa do atualizador de excluí-lo foi enfileirada e finalmente concluída quando o arquivo não estava mais bloqueado. Infelizmente, a atualização já foi encerrada e não pode ser retomada. E quando eu reinstalar, é claro que ele tenta executar novamente o steam.exe e estou de volta à estaca zero.
Minha pergunta é: por que essas alças estão por aí e como posso impedi-las?
Editar: veja as informações adicionais solicitadas nos comentários:
C:\>fltmc instances
Filter Volume Name Altitude Instance Name Frame VlStatus
-------------------- ------------------------------------- ------------ --------------------- ----- --------
KLIF \Device\Mup 320400 KLIF 0
KLIF C: 320400 KLIF 0
KLIF 320400 KLIF 0
luafv C: 135000 luafv 0
FileInfo \Device\Mup 45000 FileInfo 0
FileInfo C: 45000 FileInfo 0
FileInfo 45000 FileInfo 0
Edit: GMER indica que meu antivírus (Kaspersky) ainda está ativo de alguma forma, apesar de desativá-lo a partir de sua própria GUI e seu serviço ser interrompido.
AttachedDevice \Driver\tdx \Device\Ip kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\tdx \Device\Tcp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\tdx \Device\Udp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\tdx \Device\RawIp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
Mas tudo isso parece ser para serviços de rede; Eu não vejo nada relacionado ao sistema de arquivos. Alguma dessas poderia ser a causa do problema?
Editar: desativei o filtro Kaspersky KLIF, mas o problema de bloqueio continua.
Editar: eu resolvi o problema específico com o Steam instalando, forçando o instalador antes que ele pudesse iniciar o steam.exe, depois reinicie no modo de segurança e o execute lá. Então, aparentemente, o que está bloqueando o executável não está presente no modo de segurança.
Embora eu tenha resolvido esse caso em particular, o problema também aparece em outros lugares, então ainda gostaria de entender o que está acontecendo.