AmCache nedir ve Windows hangi programları çalıştırdığınızı nasıl hatırlıyor?

Windows, makinede hiç çalıştırılmış her program için sessiz bir defter tutar — sizin temizlediğiniz tarayıcı geçmişinde değil, AmCache adlı bir kayıt defteri kovanında. Adli bilişim uzmanlarının bu dosyayı sevmesinin bir nedeni var; siz de en azından varlığından haberdar olun, çünkü tarayıcıdaki “Geçmişi temizle” bu dosyaya hiç dokunmaz.

AmCache gerçekte ne kaydeder?

Kovan C:\Windows\appcompat\Programs\Amcache.hve konumunda yaşar ve Windows 8 ile gelen uygulama uyumluluğu altyapısının parçasıdır (Windows 7 aynı işi RecentFileCache.bcf adlı bir dosyayla yapardı). Çalıştırılan her yürütülebilir dosya bir kayıt alır: tam yol, ikili dosyanın SHA-1 özeti, dosya boyutu, zaman damgaları, dijital imza ve yayıncı, ayrıca bağlantı zamanı gibi PE başlığındaki ayrıntılar — yani programın gerçekten derlendiği an. Ayrı bölümler yüklü yazılımı, sürücüleri ve cihazları envanterler: DeviceContainer kayıtları, USB cihazları her birinin ilk bağlandığı zamanla birlikte tutar.

Bunların hiçbiri kötü amaçlı yazılım değil. Söz konusu olan, uyumluluk veritabanının tanılama yapması — Windows'un program bazında uyumluluk düzeltmeleri uyguladığı mekanizmanın ta kendisi. Ama aynı eksiksizlik, AmCache'i sistemdeki en zengin yürütme geçmişi artefaktı yapıyor: olay müdahalesinde belirli bir programın belirli bir tarihte belirli bir sürücüden çalıştırıldığını kanıtlamak için rutin biçimde kullanılır. Tarayıcı geçmişiniz sörfünüzü kapsar; bu dosya gerisini kapsar.

C:\Windows\appcompat\Programs\Amcache.hve — kovanın kendisi, Windows çalışırken kilitli
Root\InventoryApplicationFile — çalıştırılan her program: yol, SHA-1, boyut, yayıncı, bağlantı zamanı
Root\InventoryApplication — uyumluluk alt sisteminin gördüğü hâliyle yüklü yazılım
Root\DeviceContainer — ilk bağlantı zaman damgalarıyla USB cihazları
Amcache.hve.LOG1 / .LOG2 — aynı kayıtların kopyalarını taşıyan işlem günlükleri

Silmek düşündüğünüzden zor — ve daha az işe yarar

Kovanı çalışan bir sistemden silemezsiniz: kayıt defteri onu açık tutar ve Windows zaten bir sonraki açılışta yeniden oluşturur. Çevrimdışı silme — kurtarma ortamından ya da başka bir işletim sisteminden reg load ile kovanı yükleyerek — işe yarar ve bir şeyi bozmaz, ama iz üzerinde zar zor bir çentik açar. Aynı yürütme geçmişi, SYSTEM kovanındaki ShimCache'in (AppCompatCache) içinde, kendi çalıştırma zaman damgaları taşıyan C:\Windows\Prefetch altındaki Prefetch dosyalarında, uygulama başına kaynak kullanımını izleyen SRUM veritabanında, her kullanıcının NTUSER.DAT'ındaki UserAssist sayaçlarında ve sıradan Atlama Listeleri ile LNK dosyalarında yaşamaya devam eder. AmCache altı tanıktan biridir, dosyanın tamamı değildir.

Bu yüzden dürüst bir çerçeve önemlidir: AmCache'i yalnızca yönetici haklarına sahip biri okuyabilir ve gerçekçi tehdit modeli, adli inceleme, olay müdahalesi ya da sonradan yönetici erişimiyle makineyi karıştıran biridir. Ziyaret ettiğiniz sitelere karşı günlük gizlilik için tarayıcı hijyeni iş görür. Satacağınız veya emekliye ayıracağınız bir makine söz konusuysa, artefaktların cerrahi silinmesi temiz bir yeniden kurulumun veya silinmiş bir diskin yerini tutmaz — altı tanığı birden ortadan kaldıran tek cevap budur.

Sorular ve yanıtlar

AmCache geçmişimi nasıl görüntülerim?

Kovanı C:\Windows\appcompat\Programs konumundan kopyalayın (kilitli olduğu için yükseltilmiş bir komut istemi gerekir) ve AmcacheParser gibi bir araçla çözümleyin; araç, kayıtlı her yürütmeyi yollar, özetler ve zaman damgalarıyla tablo hâlinde listeler.

Amcache.hve dosyasını güvenle silebilir miyim?

Windows çalışırken hayır — dosya kilitlidir. Kurtarma ortamından silebilirsiniz ve Windows yeni bir tane oluşturur; bir şey bozulmaz, ama aynı çalıştırma geçmişi Prefetch, ShimCache ve SRUM'da yaşamaya devam eder, yani bu bir gizlilik çözümü değildir.