Wie bereinigt man Shimcache unter Windows?

Shimcache, auch AppCompatCache genannt, ist eine Windows-Anwendungskompatibilitätsfunktion. Windows verwendet es, um zu entscheiden, ob ein Programm eine Kompatibilitätskorrektur benötigt, führt dabei aber einen Nachweis der verarbeiteten Programme, wodurch es zu einem bekannten Ausführungsartefakt wird. Im Gegensatz zu Amcache handelt es sich nicht um eine Datei auf der Festplatte: Sie befindet sich in der Registrierung, unter HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache.

Jeder Eintrag behält hauptsächlich den vollständigen Dateipfad und das zuletzt geänderte Datum der Datei, in der Reihenfolge neueste zuerst, und bei einigen Windows-Versionen ein Flag, das anzeigt, dass die Datei tatsächlich ausgeführt wurde. Das reicht aus, um zu zeigen, dass ein bestimmtes Programm auf dem PC vorhanden war, weshalb die Ermittler es gelesen haben. Das Reinigen entfernt diese Spur.

Shimcache speichert pro Eintrag weniger als Amcache: kein SHA-1-Hash, kein Publisher-Name. Aber der Pfad plus das letzte Änderungsdatum der Datei ist immer noch ein solides Nachweis-der-Anwesenheit-Artefakt, und es kann sogar Programme auflisten, die durchgeblättert, aber nie gestartet wurden. PrivaZer entfernt diese Einträge, sodass die Spur nicht mehr im Register steht.

Um das zu verhindern, löscht PrivaZer nicht nur den Registrierungswert: Es löscht auch die In-Memory-Kopie des Caches mit denselben Routinen, die Windows selbst verwendet, nämlich ShimFlushCache (in apphelp.dll) und BaseFlushAppcompatCache (in kernel32.dll). Nachdem die Live-Kopie gespült wurde, bleibt kein alter Cache mehr übrig, der beim Herunterfahren wieder geschrieben werden kann. Da AppCompatCache unter dem Live-SYSTEM-Hive liegt, sind Administratorrechte erforderlich.

Ja. PrivaZer erkennt und löscht die AppCompatCache-Einträge im Rahmen eines Scans und kann sie eigenständig angreifen. Dann wird die In-Memory-Kopie des Caches (über ShimFlushCache und BaseFlushAppcompatCache) gelöscht, sodass die Bereinigung bleibt und nicht beim nächsten Ausschalten des PCs wieder auftaucht. Administratorrechte sind erforderlich.

Ja. Das Entfernen des Programms und das Löschen seiner Dateien löscht den AppCompatCache-Eintrag nicht. Der Pfad und das zuletzt geänderte Datum können zurückbleiben und anzeigen, dass das Programm auf dem PC vorhanden war, selbst nachdem das Programm selbst verschwunden ist. Genau das ist die Art von Rest, nach der ein Prüfer sucht, und das Reinigen von Shimcache entfernt ihn.

Ja. AppCompatCache ist ein Cache, den Windows für Kompatibilität pflegt und automatisch neu erstellt. Das Löschen beeinträchtigt nicht Ihre installierten Programme, Ihre Dateien oder die Systemstabilität. Windows beginnt einfach wieder, den Cache zu füllen, während Sie den PC weiter benutzen.

Neue Einträge sammeln sich erneut für Programme an, die nach dem Clean verarbeitet wurden, was normal ist: Der Cache ist ein laufender Datensatz. Die Reinigung entfernt die historische Spur bis zu diesem Punkt, und da PrivaZer die In-Memory-Kopie löscht, werden die alten Daten beim nächsten Herunterfahren nicht wieder zurückgeschrieben. Führen Sie regelmäßig PrivaZer, um die Spur kurz zu halten.

Es handelt sich um zwei separate Kompatibilitätsartefakte, die meist gemeinsam gereinigt werden. Shimcache (AppCompatCache) befindet sich in der Registrierung, speichert hauptsächlich Pfad und das letzte Änderungsdatum und wird beim Herunterfahren auf die Festplatte geladen. Amcache ist eine Hive-Datei (Amcache.hve) mit deutlich reichhaltigeren Programmdaten, einschließlich des SHA-1-Hashs der ausführbaren Datei. Wenn man nur eine Spur entfernt, bleibt die andere Spur unversehrt, daher lohnen sich beide Säuberungen.

Für die Amcache-Seite und was ihr Hive enthält, siehe: Wie man Amcache unter Windows bereinigt.