Amcache.hve とは何か — Windows が密かに記録するプログラム実行履歴

Windows は、その PC で実行されたすべてのプログラムについて、人知れず台帳をつけています。あなたが消すブラウザー履歴ではなく、AmCache というレジストリハイブの中です。フォレンジック分析者に重宝される理由があり、少なくとも存在だけは知っておくべきです。ブラウザーの「履歴を消去」は、このファイルにはまったく触れないからです。

AmCache が実際に記録しているもの

このハイブは C:\Windows\appcompat\Programs\Amcache.hve にあり、Windows 8 とともに導入されたアプリケーション互換性インフラの一部です（Windows 7 は RecentFileCache.bcf というファイルで同じ仕事をしていました）。実行されたすべての実行ファイルがエントリを持ちます。完全なパス、バイナリの SHA-1 ハッシュ、ファイルサイズ、タイムスタンプ、デジタル署名と発行元に加え、リンク時刻——プログラムが実際にコンパイルされた時期——など PE ヘッダーの情報まで記録されます。別のセクションではインストール済みソフトウェア、ドライバー、デバイスが台帳化されており、DeviceContainer エントリは USB デバイスとその初回接続時刻を記録します。

これはマルウェアではありません。互換性データベースが診断を行っているだけで、Windows がプログラムごとに互換性修正を適用する仕組みと同じものです。しかし、その網羅性こそが AmCache をシステム上で最も豊富な実行履歴アーティファクトにしています。インシデント対応では、特定のプログラムが特定の日に特定のドライブから実行されたことを証明するために日常的に使われます。ブラウザーの履歴は閲覧を、このファイルはそれ以外のすべてをカバーするのです。

C:\Windows\appcompat\Programs\Amcache.hve — ハイブ本体。Windows 実行中はロックされる
Root\InventoryApplicationFile — 実行されたすべてのプログラム：パス、SHA-1、サイズ、発行元、リンク時刻
Root\InventoryApplication — 互換性サブシステムから見たインストール済みソフトウェア
Root\DeviceContainer — 初回接続タイムスタンプ付きの USB デバイス
Amcache.hve.LOG1 / .LOG2 — 同じ記録のコピーを保持するトランザクションログ

削除は思ったより難しく、そしてほとんど役に立たない

稼働中のシステムからこのハイブを削除することはできません。レジストリがファイルを開いたまま保持しており、次回起動時に Windows が再作成するためです。オフラインでの削除 —— 回復環境から、あるいは別の OS から reg load でハイブを読み込んで —— は機能し、何も壊しませんが、痕跡を削るには至りません。同じ実行履歴は、SYSTEM ハイブ内の ShimCache（AppCompatCache）、独自の実行タイムスタンプを持つ C:\Windows\Prefetch 配下の Prefetch ファイル、アプリごとのリソース使用を追跡する SRUM データベース、各ユーザーの NTUSER.DAT 内の UserAssist カウンタ、そして通常のジャンプリストと LNK ファイルに残ります。AmCache は 6 人の証人の 1 人にすぎず、事件ファイル全体ではありません。

だからこそ正直な位置づけが重要です。AmCache を読めるのは管理者権限を持つ者だけで、現実的な脅威モデルはフォレンジック、インシデント対応、あるいは事後に管理者権限でマシンを調べる誰かです。訪問先サイトに対する日常的なプライバシーなら、ブラウザーの衛生管理で十分です。売却や引退させるマシンについては、アーティファクトを外科的に削っても、クリーンな再インストールやディスクの完全消去には及びません。6 人の証人を一度に消せる唯一の回答はそれです。