Systeembestanden moet je niet verwijderen. Als ze wel zijn verwijderd kun je ze niet altijd zomaar terugplaatsen, bijvoorbeeld als de locatie onder een bepaalde partitiegrens moet zijn.

Bestanden die werkelijk 0 bytes groot zijn kunnen in principe geen malware bevatten. Theoretisch kan een rootkit de omvang van een bestand zoals die wordt weergegeven wijzigen. Sommige malware maakt ook bestanden aan die nul bytes groot zijn. Maar dat zegt verder niets over de aard van een bestand, het is geen reden om zulke bestanden te verwijderen.

Malware detecteer je met anti-virus.

En waar zou de code moeten staan dan?

MSDOS.SYS en IO.SYS moet je lekker laten staan. Legacy MS-DOS bestanden.

In een Alternate Data Stream (ADS).

Voorbeeld: start een commandprompt, ga naar een map waar je schrijfrechten hebt en start: notepad leeg.txt:nietleeg.txt
Tik wat tekst, sla het bestand op en sluit notepad. Als je daarna dir uitvoert zie je een bestand genaamd "leeg.txt" van 0 bytes.

Door opnieuw notepad leeg.txt:nietleeg.txt te starten zul je zien dat de gegevens nog wel degelijk bestaan. Ze blijven ook bestaan als je het bestand naar een andere NTFS partitie kopieert, maar verdwijnen als je ze naar een FAT drive kopieert.

Meer info over ADS vind je hier: http://www.heysoft.de/en/information/ntfs-ads.php?lang=EN, inclusief een verwijzing naar een tooltje (genaamd LADS) van dezelfde auteur (Frank Heyne) waarmee je kunt vaststellen welke bestanden voorzien zijn van alternate data streams.

Hier (http://blogs.sans.org/computer-forensics/2009/02/09/the-trojan-solved-it-catching-a-fraudster-with-another-criminal-myspacceexe/) een aardig verhaal van een NL forensisch onderzoeker die een frauderende werknemer kon betrappen dankzij de aanwezigheid van een keylogger die de activiteiten van de werknemer (zonder dat deze dat wist) in een ADS had opgeslagen.

Klopt. Microsoft heeft ze waarschijnlijk om compatibiliteitsredenen laten staan, alhoewel ik niet verwacht dat er nog programma's bestaan die ze nodig hebben.

bedankt allemaal voor jullie reactie.

dus, alle nulbestanden waar een .sys-extensie achter staat, kun je beter laten staan dus, als ik het goed heb begrepen van jullie en andere nulbestanden van toepassingen waarschijnlijk, ik had er ook een staan van hpot, deze is van mn hpscanner dat weet ik, kunnen dus gerust verwijderd worden.

bedankt allemaal voor jullie heldere uitleg
gr. pc-amateur

deze site geeft je inzicht in de bestanden en in de processen.
zeer handig

http://www.processlibrary.com/

Groet Hot Burmees

Nee, je moet geen bestanden van programma's verwijderen als je wilt dat die programma's goed functioneren. Hetzelfde geldt voor systeembestanden. Die kunnen allerlei extensies hebben, niet alleen sys.

Bedenk dat je er vrijwel niets mee wint om die bestanden te verwijderen, maar wel een risico loopt op problemen.