Co AmCache faktycznie zapisuje
Gałąź leży pod C:\Windows\appcompat\Programs\Amcache.hve i należy do infrastruktury zgodności aplikacji, która przyszła razem z Windows 8 (Windows 7 robił tę samą robotę plikiem o nazwie RecentFileCache.bcf). Każdy uruchomiony plik wykonywalny dostaje wpis: pełną ścieżkę, sumę SHA-1 pliku binarnego, rozmiar, znaczniki czasu, podpis cyfrowy i wydawcę oraz szczegóły z nagłówka PE, na przykład czas linkowania — kiedy program został faktycznie skompilowany. Osobne sekcje inwentaryzują zainstalowane oprogramowanie, sterowniki i urządzenia: wpisy DeviceContainer odnotowują urządzenia USB wraz z momentem ich pierwszego podłączenia.
Nic z tego nie jest złośliwym oprogramowaniem. To baza zgodności zajmująca się diagnostyką — ten sam mechanizm, dzięki któremu Windows nakłada poprawki zgodności na konkretne programy. Ale ta sama kompletność czyni AmCache najbogatszym artefaktem historii wykonywania w całym systemie: w odpowiedzi na incydenty rutynowo udowadnia się z niego, że konkretny program zadziałał z konkretnego dysku konkretnego dnia. Historia przeglądarki obejmuje twoje surfowanie; ten plik obejmuje wszystko pozostałe.
- C:\Windows\appcompat\Programs\Amcache.hve — sama gałąź, zablokowana, dopóki działa Windows
- Root\InventoryApplicationFile — każdy uruchomiony program: ścieżka, SHA-1, rozmiar, wydawca, czas linkowania
- Root\InventoryApplication — zainstalowane oprogramowanie widziane oczami podsystemu zgodności
- Root\DeviceContainer — urządzenia USB ze znacznikami czasu pierwszego podłączenia
- Amcache.hve.LOG1 / .LOG2 — dzienniki transakcji z kopiami tych samych wpisów
Usunięcie jest trudniejsze — i mniej pożyteczne — niż się wydaje
Nie da się usunąć gałęzi z działającego systemu: rejestr trzyma ją otwartą, a Windows i tak odtworzy ją przy następnym rozruchu. Usunięcie offline — ze środowiska odzyskiwania albo przez załadowanie gałęzi poleceniem reg load z innego systemu — działa i niczego nie psuje, ale śladu prawie nie narusza. Ta sama historia wykonywania przetrwa w ShimCache (AppCompatCache) wewnątrz gałęzi SYSTEM, w plikach Prefetch pod C:\Windows\Prefetch z własnymi znacznikami czasu uruchomień, w bazie SRUM śledzącej zużycie zasobów per aplikacja, w licznikach UserAssist w NTUSER.DAT każdego użytkownika oraz w zwykłych Jump Lists i plikach LNK. AmCache to jeden ze świadków z sześciu, a nie cała teczka.
Dlatego liczy się uczciwe kadrowanie sprawy: AmCache da się odczytać tylko z uprawnieniami administratora, a realistyczny model zagrożenia to forensyka, odpowiedź na incydenty albo ktoś z dostępem admina grzebiący w maszynie po fakcie. O codzienną prywatność wobec odwiedzanych stron wystarczy dbać w przeglądarce. Dla maszyny, którą sprzedajesz lub wycofujesz z użytku, żadne chirurgiczne usuwanie artefaktów nie zastąpi czystej reinstalacji czy wyczyszczonego dysku — to jedyna odpowiedź, która likwiduje wszystkich sześciu świadków za jednym zamachem.
Pytania i odpowiedzi
Jak podejrzeć swoją historię AmCache?
Skopiuj gałąź z katalogu C:\Windows\appcompat\Programs (potrzebny jest wiersz polecenia z podniesionymi uprawnieniami, bo plik jest zablokowany) i przeanalizuj ją narzędziem takim jak AmcacheParser, które wypisze tabelę każdego zarejestrowanego uruchomienia ze ścieżkami, sumami i znacznikami czasu.
Czy można bezpiecznie usunąć Amcache.hve?
Nie podczas pracy Windows — plik jest zablokowany. Ze środowiska odzyskiwania da się go usunąć, a Windows zbuduje świeży; nic się nie psuje, ale ta sama historia uruchomień przetrwa w Prefetch, ShimCache i SRUM, więc na prywatność to nie jest.
Sprawdź warunki przed zakupem
Porównaj czas licencji i liczbę urządzeń. Każdy płatny plan odblokowuje ten sam zestaw narzędzi PRO.
Przeczytaj także
Napisz do nas: [email protected]