O que exatamente a AmCache registra
A hive mora em C:\Windows\appcompat\Programs\Amcache.hve e pertence à infraestrutura de compatibilidade de aplicativos que chegou com o Windows 8 (no Windows 7 o mesmo papel era de um arquivo chamado RecentFileCache.bcf). Todo executável que roda ganha uma entrada: caminho completo, hash SHA-1 do binário, tamanho, marcas de tempo, assinatura digital e editora, além de detalhes do cabeçalho PE como a data de linkedição — quando o programa foi compilado de verdade. Seções separadas fazem inventário do software instalado, dos drivers e dos dispositivos: as entradas DeviceContainer registram os USB com a primeira vez que cada um conectou.
Nada disso é malware. É a base de compatibilidade fazendo diagnóstico — o mesmo mecanismo com que o Windows aplica correções de compatibilidade programa a programa. Mas é essa completude que faz da AmCache o artefato mais rico de histórico de execução do sistema: em resposta a incidentes, ela é usada rotineiramente para provar que um programa específico rodou de um disco específico numa data específica. O histórico do navegador cobre a sua navegação; esse arquivo cobre todo o resto.
- C:\Windows\appcompat\Programs\Amcache.hve — a hive em si, bloqueada enquanto o Windows roda
- Root\InventoryApplicationFile — cada programa executado: caminho, SHA-1, tamanho, editora, data de linkedição
- Root\InventoryApplication — o software instalado, como o subsistema de compatibilidade o enxerga
- Root\DeviceContainer — dispositivos USB com as marcas de tempo da primeira conexão
- Amcache.hve.LOG1 / .LOG2 — logs de transações que guardam cópias das mesmas entradas
Apagar é mais difícil — e menos útil — do que parece
Não dá para apagar a hive com o sistema ligado: o registro mantém o arquivo aberto, e o Windows recria a hive no próximo boot de qualquer jeito. Apagar a frio — pelo ambiente de recuperação, ou montando com reg load de outro sistema — funciona e não quebra nada, mas quase não emagrece o rastro. O mesmo histórico de execução sobrevive no ShimCache (AppCompatCache) dentro da hive SYSTEM, nos arquivos Prefetch de C:\Windows\Prefetch com as próprias marcas de tempo, no banco SRUM que acompanha o consumo por aplicativo hora a hora, nos contadores UserAssist do NTUSER.DAT de cada usuário e nas Jump Lists e arquivos LNK de sempre. A AmCache é uma testemunha entre seis, não o processo inteiro.
Por isso o enquadramento honesto importa: ler a AmCache exige direitos de administrador, e o cenário realista é perícia, resposta a incidentes ou alguém com acesso admin mexendo na máquina depois. Para a privacidade do dia a dia na navegação, higiene do navegador basta. Para uma máquina que você vai vender ou aposentar, nenhum apagamento cirúrgico de artefatos substitui uma reinstalação limpa ou um disco apagado — essa é a única resposta que elimina as seis testemunhas de uma vez.
Perguntas e respostas
Como vejo o meu histórico da AmCache?
Copie a hive de C:\Windows\appcompat\Programs (ela está bloqueada, precisa de um terminal como administrador) e passe por um analisador como o AmcacheParser, que devolve uma tabela de cada execução registrada com caminhos, hashes e datas.
Posso apagar o Amcache.hve sem risco?
Com o Windows rodando, não — o arquivo está em uso. Pelo ambiente de recuperação dá para apagar, e o Windows cria um novo; nada quebra, mas o mesmo histórico de execuções sobrevive em Prefetch, ShimCache e SRUM, então não é uma solução de privacidade.
Veja exatamente o que está incluído antes de comprar.
O teste único de 30 minutos cobre os recursos básicos. Os recursos marcados PRO ficam bloqueados até a ativação de uma licença paga.
Continue lendo
Fale com a gente: [email protected]