Що саме записує AmCache
Файл лежить у C:\Windows\appcompat\Programs\Amcache.hve і належить інфраструктурі сумісності застосунків, що з'явилася у Windows 8 (у Windows 7 ту саму роботу робив файл RecentFileCache.bcf). Кожен запущений виконуваний файл отримує запис: повний шлях, SHA-1-хеш бінарника, розмір, мітки часу, цифровий підпис і видавця, а також дані з PE-заголовка на кшталт часу компонування — коли програму справді скомпілювали. Окремі розділи інвентаризують встановлене ПЗ, драйвери та пристрої: записи DeviceContainer фіксують USB-пристрої з моментом першого підключення.
Це не шкідливий механізм. Це база сумісності, що веде діагностику, — той самий канал, через який Windows застосовує до програм окремі виправлення сумісності. Але та сама повнота робить AmCache найбагатшим артефактом історії виконання в системі: при розслідуванні інцидентів із його допомогою доводять, що конкретна програма запускалася з конкретного диска в конкретну дату. Історія браузера покриває ваш сьорфінг; цей файл покриває все інше.
- C:\Windows\appcompat\Programs\Amcache.hve — сам файл, поки Windows працює, він заблокований
- Root\InventoryApplicationFile — кожна запущена програма: шлях, SHA-1, розмір, видавець, час компонування
- Root\InventoryApplication — встановлене ПЗ, як його бачить підсистема сумісності
- Root\DeviceContainer — USB-пристрої з мітками часу першого підключення
- Amcache.hve.LOG1 / .LOG2 — журнали транзакцій, що зберігають копії тих самих записів
Видалити його складніше — і менш корисно, — ніж здається
На запущеній системі файл не видалити: реєстр тримає його відкритим, а Windows після наступного завантаження створить новий. Видалення офлайн — із середовища відновлення або через reg load з іншої системи — працює й нічого не ламає, але слід майже не тоншає. Та сама історія виконання живе в ShimCache (AppCompatCache) усередині вулика SYSTEM, у файлах Prefetch із C:\Windows\Prefetch з їхніми мітками запусків, у базі SRUM з погодинним обліком ресурсів за програмами, у лічильниках UserAssist усередині NTUSER.DAT кожного користувача і в звичайних Jump Lists та LNK-файлах. AmCache — один свідок із шести, а не вся справа цілком.
Тому чесні рамки важливі: прочитати AmCache можна лише з правами адміністратора, і реалістичний сценарій — форензика, розбір інциденту або людина з адмінським доступом, що порпається в машині заднім числом. Для повсякденної приватності в інтернеті вистачає гігієни браузера. Для машини, яку ви продаєте чи списуєте, жодне хірургічне видалення артефактів не замінить чистої перевстановлення чи стирання диска — це єдина відповідь, що прибирає всіх шістьох свідків разом.
Питання та відповіді
Як подивитися свою історію AmCache?
Скопіюйте файл із C:\Windows\appcompat\Programs (він заблокований, потрібен запуск від адміністратора) і пропустіть крізь парсер на кшталт AmcacheParser — той видасть таблицю всіх зафіксованих запусків зі шляхами, хешами та часом.
Чи можна безпечно видалити Amcache.hve?
На запущеній системі — ні, файл зайнятий. Із середовища відновлення його можна видалити, Windows створить новий; нічого не зламиться, але та сама історія запусків лишиться в Prefetch, ShimCache та SRUM, тож приватністю це не стане.
Перевірте склад ліцензії до покупки.
Разовий 30-хвилинний тест охоплює базові функції. Інструменти з позначкою PRO залишаються заблокованими до активації платної ліцензії.
Читайте також
Написати нам: [email protected]