¿Qué es el formato de archivo SYS?
La extensión .sys indica archivos de sistema utilizados en los sistemas operativos Windows y MS-DOS. Dichos archivos contienen datos relativos a controladores cargables, ajustes de dispositivos y otras funciones de bajo nivel. Sin los archivos .sys, operar el sistema sería imposible, ya que permiten la comunicación entre el kernel de Windows, los dispositivos de hardware y los periféricos externos.
La extensión abarca dos generaciones distintas. En la era de MS-DOS, los archivos .sys eran archivos de texto o descriptores binarios simples de configuración y controladores. En el Windows NT moderno (Windows 2000 y posteriores), un archivo .sys es un binario de controlador en modo kernel Portable Executable, el mismo formato MZ/PE que los archivos .exe y .dll, pero cargado y ejecutado directamente por el kernel de Windows en lugar de por código en modo usuario.
Archivos .sys típicos
El archivo .sys heredado más común es CONFIG.SYS, muy conocido porque contiene todas las declaraciones de controladores y ajustes de configuración necesarios para ejecutar MS-DOS. Otros archivos .sys de esa época incluyen:
MSDOS.SYS: Contiene el código básico del sistema DOS, llamado kernel de DOS.IO.SYS: Contiene los controladores estándar de DOS y el programa responsable de iniciar DOS; utilizado en DOS y Windows 9x.KEYBOARD.SYS: Contiene información sobre la distribución del teclado.
El Windows moderno incluye numerosos archivos .sys de controladores, como ntfs.sys (controlador del sistema de archivos NTFS) y tcpip.sys (pila de red TCP/IP).
Ubicación de los archivos .sys
Gran parte de los archivos .sys dentro del sistema están ocultos. Normalmente se encuentran en la carpeta principal de Windows; en Vista y versiones posteriores, los archivos .sys se localizan con mayor frecuencia en C:\Windows\System32\drivers\ y C:\Windows\WinSxS\. Los controladores de hardware también se almacenan en C:\Windows\System32\DriverStore\FileRepository\.
Notas adicionales
- Los controladores
.sysmodernos en modo kernel de Windows se ejecutan en el Ring 0 y tienen acceso total y sin restricciones a la memoria del sistema y al hardware. - En Windows de 64 bits, todos los controladores en modo kernel deben llevar una firma digital válida; los controladores sin firmar se bloquean al arrancar.
- Los archivos
.sysson sensibles a infecciones de virus y software malicioso; un controlador corrompido es una de las causas principales de los errores de pantalla azul (BSOD). - Los archivos
.sysson binarios PE, no texto plano, y pueden inspeccionarse con herramientas como PE-bear o Resource Hacker. Un archivo.infasociado suele gestionar la instalación del controlador.
Seguridad y protección
RIESGO: MEDIUMLa mayoría de los archivos .sys de controladores son componentes legítimos y firmados de Windows y son seguros; los peligros reales son dos: (1) eliminar o editar el archivo incorrecto. Eliminar un .sys de controlador puede causar fallos en el arranque o una pantalla azul; deje que Windows Update y el Administrador de dispositivos gestionen los controladores en lugar de tocar los archivos. (2) Controladores maliciosos: debido a que los controladores .sys se ejecutan en el kernel, los rootkits y los ataques «BYOVD» (trae tu propio controlador vulnerable) abusan de archivos .sys firmados o falsos para obtener el nivel más profundo de acceso al sistema. Trate cualquier .sys sin firmar o desconocido en una ubicación extraña con sospecha: verifique su firma digital (Propiedades > Firmas digitales, o Sigcheck) y analícelo. Un controlador genuino de Windows debe estar firmado por Microsoft o un fabricante de hardware conocido.
Detalles del formato
en pocas palabrasNOMBRE COMPLETOWindows Driver File
DESARROLLADORMicrosoftdesde 1981 (MS-DOS used .SYS for drivers); modern Windows NT drivers are PE binaries
CATEGORÍAArchivos de sistema
TIPO MIMEapplication/octet-stream
TIPOBinario de controlador en modo kernel Portable Executable (PE)
Esta extensión también es utilizada por…
- Bloques de datos de sistema reservados (pagefile.sys, hiberfil.sys, swapfile.sys) - Grandes regiones de disco reservadas que Windows gestiona para la memoria virtual y la hibernación; no son programas y no se pueden abrir.
- Archivos de texto/configuración heredados de DOS (CONFIG.SYS, HIMEM.SYS) - Scripts de inicio de MS-DOS en texto plano y antiguos controladores de modo real que se abren en cualquier editor de texto.
MAGIC BYTES · FIRMA DE ARCHIVO
OFFSET
0001
HEX
4D5A
ASCII
MZ
Un controlador .sys de Windows es un binario Portable Executable: comienza con «MZ» (4D 5A) en el desplazamiento 0, con el marcador «PE\0\0» más adelante (como un EXE o DLL). La diferencia con un programa en modo usuario es el campo del subsistema PE que lo marca como un controlador nativo/del kernel.
Programas que abren archivos SYS
Windows3 apps
Leave it to Windows (do not open a driver .sys)
Integrado Los archivos .sys de controladores son cargados y gestionados por Windows; usted no los abre. No los elimine ni edite, ya que puede romper el arranque o causar una pantalla azul.
File Properties > Details / Sigcheck
Gratis Para identificar un .sys de controlador, haga clic derecho > Propiedades > Detalles (producto/compañía), o ejecute Sysinternals Sigcheck para ver su firma y origen.
PE viewer (PE-bear / Resource Hacker / Dependency Walker)
Gratis Para desarrolladores/analistas: abra un .sys de controlador en un inspector PE para ver sus encabezados, importaciones e información de versión (análisis de solo lectura). Detalles técnicos
especificación profunda| Formato binario | Controlador en modo kernel Portable Executable (PE); formato de contenedor idéntico a los archivos .exe y .dll |
| Bytes mágicos | 4D 5A («MZ») en el desplazamiento 0; firma PE 50 45 00 00 en el desplazamiento almacenado en el encabezado MZ |
| Subsistema PE | 1 - IMAGE_SUBSYSTEM_NATIVE; marca el binario como un controlador nativo/del kernel, no como una aplicación en modo usuario |
| Nivel de privilegio de ejecución | Ring 0 (modo kernel); acceso total sin restricciones a los registros de hardware, memoria física y estructuras de datos del sistema |
| Tipo MIME | application/octet-stream |
| Firma de código en modo kernel | Obligatoria en Windows Vista de 64 bits y posteriores; los controladores deben estar firmados por WHQL o EV; Secure Boot aplica la política de firma al arrancar |
| Ubicación de instalación típica | C:\Windows\System32\drivers\; copia de almacenamiento mantenida en C:\Windows\System32\DriverStore\FileRepository\ |
| Visibilidad del archivo | Atributo de sistema oculto establecido por defecto; no se muestra en el Explorador sin habilitar tanto «Mostrar archivos ocultos» como «Ocultar archivos protegidos del sistema operativo» |
| Mecanismo de carga | Administrador de control de servicios (SCM) de Windows al arrancar o bajo demanda; los controladores de inicio de arranque se enumeran bajo HKLM\SYSTEM\CurrentControlSet\Services en el registro |
| Rol heredado de MS-DOS | Descriptor de configuración simple binario o basado en texto (CONFIG.SYS, IO.SYS, MSDOS.SYS); precede al formato de controlador PE por más de una década |
| Variantes de arquitectura | Se requieren compilaciones separadas para x86 (32 bits), x86-64 (AMD64) y ARM64; un solo archivo .sys apunta a una sola arquitectura |
| Marco de desarrollo de controladores | WDM (Windows Driver Model) o WDF/KMDF (Windows Driver Frameworks - Kernel-Mode Driver Framework); compilado con el Windows Driver Kit (WDK) |
| Sensibilidad de seguridad | Crítica: un controlador de kernel defectuoso o malicioso puede causar pantallas azules (BSOD), corrupción de datos o el compromiso total del sistema |
| Desarrollador | Microsoft para controladores integrados de Windows; los proveedores de hardware suministran archivos .sys firmados adicionales a través de paquetes de controladores basados en INF |
| Formatos relacionados | .exe y .dll comparten el contenedor PE; .drv es una DLL de controlador en modo usuario heredada; .inf proporciona metadatos de instalación; .vxd era el formato de controlador de dispositivo virtual de Win9x |
| Lanzado | 1981 (MS-DOS used .SYS for drivers); modern Windows NT drivers are PE binaries |
| Especificación | learn.microsoft.com |
Conversiones de SYS
No es posible
.SYS .DLL¿POR QUÉ NO?
No - un controlador .sys de Windows es código de modo núcleo y una .dll es una biblioteca de modo usuario; se…
.SYS .EXE¿POR QUÉ NO?
No - un controlador de modo kernel .sys y una aplicación de modo usuario .exe se ejecutan en entornos de…
.SYS .TXT¿POR QUÉ NO?
No - un controlador .sys moderno de Windows es código binario compilado; no hay contenido de texto para…
Preguntas y respuestas de la comunidad
preguntado por usuarios
S
Preguntas frecuentes
¿Cómo abro un archivo .sys?
Un .sys de controlador no está diseñado para ser abierto: Windows lo carga. Para saber qué es, haga clic derecho > Propiedades > Detalles (compañía/producto) o ejecute Sigcheck. No intente abrir un .sys de controlador como texto; es un binario.
Una pantalla azul mencionó un archivo .sys, ¿qué significa?
Nombra al controlador que Windows cree que causó el fallo (por ejemplo, un controlador de gráficos o de almacenamiento). La solución suele ser actualizar, revertir o reinstalar ese controlador, no tocar el archivo. Busque el nombre exacto del .sys para saber a qué dispositivo pertenece.
¿Es un archivo .sys un virus?
Normalmente no; la mayoría son controladores legítimos firmados. Pero debido a que los controladores se ejecutan en el kernel, el malware (rootkits) puede camuflarse como archivos .sys. Verifique la firma digital (Propiedades > Firmas digitales) y analice los desconocidos; un controlador real de Windows está firmado por Microsoft o el fabricante del hardware.
¿Puedo eliminar un archivo .sys para liberar espacio?
No elimine archivos .sys de controladores; eliminar uno puede desactivar el hardware o impedir que Windows arranque. (Otros archivos .sys que pueda notar, como pagefile.sys o hiberfil.sys, son datos reservados de Windows, no controladores, y es mejor gestionarlos a través de la configuración de Windows, no eliminarlos a mano).
¿Puedo convertir un archivo .sys a .exe o .dll?
No. Un .sys de controlador es un binario en modo kernel, no una aplicación ejecutable ni una biblioteca en modo usuario, por lo que no existe una conversión significativa.
¿Cómo actualizo el controlador mencionado en un fallo?
Identifique el dispositivo al que pertenece el .sys (Propiedades > Detalles, o busque el nombre del archivo), luego actualícelo a través del Administrador de dispositivos o el sitio del fabricante del hardware. Si una actualización reciente causó el fallo, revierta el controlador en su lugar.
Referencias
1Microsoft - Windows Driver Kit / drivers documentationlearn.microsoft.com
2Microsoft - PE Format (Portable Executable)learn.microsoft.com
