Cosa registra davvero AmCache
L'hive si trova in C:\Windows\appcompat\Programs\Amcache.hve e fa parte dell'infrastruttura di compatibilità delle applicazioni arrivata con Windows 8 (Windows 7 faceva lo stesso lavoro con un file chiamato RecentFileCache.bcf). Ogni eseguibile avviato riceve una voce: percorso completo, hash SHA-1 del binario, dimensione, timestamp, firma digitale ed editore, oltre ai dettagli dell'intestazione PE come il link time — quando il programma è stato effettivamente compilato. Sezioni separate inventariano software installato, driver e dispositivi: le voci DeviceContainer registrano i dispositivi USB con la data della prima connessione.
Niente di tutto ciò è malware. È il database di compatibilità al lavoro diagnostico, lo stesso meccanismo con cui Windows applica le correzioni di compatibilità programma per programma. Ma è proprio quella completezza a rendere AmCache l'artefatto più ricco di cronologia delle esecuzioni sull'intero sistema: nella risposta agli incidenti si usa per routine per dimostrare che un determinato programma è girato da un determinato disco in una determinata data. La cronologia del browser copre la navigazione; questo file copre tutto il resto.
- C:\Windows\appcompat\Programs\Amcache.hve — l'hive stesso, bloccato finché Windows è in esecuzione
- Root\InventoryApplicationFile — ogni programma avviato: percorso, SHA-1, dimensione, editore, link time
- Root\InventoryApplication — il software installato visto dal sottosistema di compatibilità
- Root\DeviceContainer — dispositivi USB con i timestamp della prima connessione
- Amcache.hve.LOG1 / .LOG2 — log di transazione che contengono copie degli stessi record
Eliminarlo è più difficile — e meno utile — di quanto sembri
L'hive non si può eliminare da sistema in esecuzione: il Registro lo tiene aperto e Windows lo ricrea comunque al prossimo avvio. L'eliminazione offline — dall'ambiente di ripristino, oppure caricando l'hive con reg load da un altro sistema — funziona e non rompe nulla, ma il solco resta quasi intatto. La stessa cronologia delle esecuzioni sopravvive nello ShimCache (AppCompatCache) dentro l'hive SYSTEM, nei file Prefetch sotto C:\Windows\Prefetch con i loro timestamp di avvio, nel database SRUM che traccia l'uso di risorse per applicazione, nei contatori UserAssist dentro l'NTUSER.DAT di ogni utente e nelle normali Jump List e file LNK. AmCache è un testimone su sei, non l'intero fascicolo.
Contano quindi i giusti distinguo: AmCache si legge solo con diritti di amministratore e il modello di minaccia realistico è la computer forense, la risposta agli incidenti o chiunque con accesso amministrativo passi in rassegna la macchina a posteriori. Per la privacy quotidiana rispetto ai siti che visiti, l'igiene del browser basta e avanza. Per una macchina che vendi o mandi in pensione, nessuna cancellazione chirurgica di artefatti regge il confronto con una reinstallazione pulita o un disco azzerato: è l'unica risposta che elimina tutti e sei i testimoni in un colpo solo.
Domande e risposte
Come visualizzo la mia cronologia AmCache?
Copia l'hive da C:\Windows\appcompat\Programs (serve un prompt con diritti elevati, perché il file è bloccato) ed elaboralo con uno strumento come AmcacheParser, che restituisce una tabella di ogni esecuzione registrata, con percorsi, hash e timestamp.
Posso eliminare Amcache.hve senza rischi?
Non con Windows in esecuzione: il file è bloccato. Dall'ambiente di ripristino puoi eliminarlo e Windows ne costruirà uno nuovo; non si rompe nulla, ma la stessa cronologia delle esecuzioni sopravvive in Prefetch, ShimCache e SRUM, quindi di privacy non si tratta.
Scopri cosa include la licenza prima dell'acquisto.
La prova singola di 30 minuti include gli strumenti essenziali. Le funzioni PRO restano bloccate finché non attivi una licenza a pagamento.
Da leggere dopo
Scrivici: [email protected]