Qué graba exactamente AmCache
La hive vive en C:\Windows\appcompat\Programs\Amcache.hve y pertenece a la infraestructura de compatibilidad de aplicaciones que llegó con Windows 8 (en Windows 7 el mismo papel lo hacía un archivo llamado RecentFileCache.bcf). Cada ejecutable que corre recibe una entrada: ruta completa, hash SHA-1 del binario, tamaño, marcas de tiempo, firma digital y editor, y detalles del encabezado PE como la fecha de enlazado — cuándo se compiló el programa de verdad. Otras secciones inventarían el software instalado, los controladores y los dispositivos: las entradas DeviceContainer registran los USB con la primera vez que cada uno se conectó.
Nada de esto es malware. Es la base de compatibilidad haciendo diagnóstico — el mismo mecanismo con el que Windows aplica arreglos de compatibilidad programa por programa. Pero esa misma completitud convierte AmCache en el artefacto más rico de historial de ejecución del sistema: en respuesta a incidentes se usa rutinariamente para demostrar que un programa concreto corrió desde un disco concreto en una fecha concreta. Tu historial de navegador cubre tu navegación; este archivo cubre todo lo demás.
- C:\Windows\appcompat\Programs\Amcache.hve — la hive en sí, bloqueada mientras Windows corre
- Root\InventoryApplicationFile — cada programa ejecutado: ruta, SHA-1, tamaño, editor, fecha de enlazado
- Root\InventoryApplication — el software instalado, tal como lo ve el subsistema de compatibilidad
- Root\DeviceContainer — dispositivos USB con marcas de tiempo de la primera conexión
- Amcache.hve.LOG1 / .LOG2 — registros de transacciones que guardan copias de las mismas entradas
Borrarlo es más difícil — y menos útil — de lo que parece
No puedes borrar la hive con el sistema en marcha: el registro mantiene el archivo abierto, y Windows la recrea en el siguiente arranque igualmente. Borrarla en frío — desde el entorno de recuperación, o cargándola con reg load desde otro sistema — funciona y no rompe nada, pero apenas adelgaza el rastro. La misma historia de ejecución sobrevive en el ShimCache (AppCompatCache) dentro de la hive SYSTEM, en los archivos Prefetch de C:\Windows\Prefetch con sus propias marcas de tiempo, en la base SRUM con el uso de recursos por aplicación y hora, en los contadores UserAssist dentro del NTUSER.DAT de cada usuario, y en las Jump Lists y archivos LNK de siempre. AmCache es un testigo de seis, no el expediente entero.
Por eso importa el encuadre honesto: leer AmCache solo puede quien tenga derechos de administrador, y el escenario realista es forensia, respuesta a incidentes o alguien con acceso admin rebuscando la máquina a posteriori. Para la privacidad cotidiana al navegar, la higiene del navegador basta. Para una máquina que vendes o retiras, ningún borrado quirúrgico de artefactos sustituye a una reinstalación limpia o un disco borrado — esa es la única respuesta que elimina a los seis testigos de una vez.
Preguntas y respuestas
¿Cómo veo mi historial de AmCache?
Copia la hive desde C:\Windows\appcompat\Programs (está bloqueada, hace falta un terminal como administrador) y pásala por un analizador como AmcacheParser, que devuelve una tabla de cada ejecución registrada con rutas, hashes y fechas.
¿Puedo borrar Amcache.hve sin riesgo?
Con Windows en marcha, no — el archivo está en uso. Desde el entorno de recuperación puedes borrarlo y Windows creará uno nuevo; nada se rompe, pero la misma historia de ejecuciones sobrevive en Prefetch, ShimCache y SRUM, así que no es una solución de privacidad.
Consulta qué incluye antes de comprar.
La prueba única de 30 minutos incluye las funciones básicas. Las funciones marcadas PRO permanecen bloqueadas hasta activar una licencia de pago.
Sigue leyendo
Escríbenos: [email protected]