Comment nettoyer Amcache sous Windows ?

Amcache est une base de données compatible avec les applications Windows. Windows l’utilise pour se souvenir des programmes qu’il a vus, mais en effet secondaire, cela devient l’un des enregistrements les plus riches de ce qui a fonctionné sur votre PC. Il vit dans une ruche de registre stockée sur disque à C :\Windows\AppCompat\Programs\Amcache.hve, présente sur Windows 8, 8.1, 10 et 11.

Pour chaque programme, Amcache peut conserver le chemin complet du fichier, la taille du fichier, un hachage SHA-1 de l’exécutable, la date de compilation intégrée dans le fichier, le nom de l’éditeur et du produit, ainsi que la première fois que le fichier a été vu. C’est une liste détaillée et horodatée des logiciels qui ont été exécutés, et c’est exactement ce que les outils médico-légaux lisent pour reconstituer l’utilisation. Le nettoyer enlève cette traînée.

Contrairement aux shellbags, une entrée Amcache n’a pas de partie cosmétique : chaque champ est un enregistrement sur un programme. C’est ce qui en fait un artefact médico-légal favori : une entrée peut prouver qu’un exécutable spécifique, avec un hachage spécifique, existait et s’exécutait à une date précise, bien après que le programme lui-même ait disparu. PrivaZer supprime ces entrées afin que la trace d’exécution ne reste plus dans la ruche.

Oui. PrivaZer détecte et efface Amcache.hve dans le cadre d’un scan, et peut le cibler seul.

Parce qu’Amcache.hve est une ruche vivante que Windows garde chargée et verrouillée pendant son exécution, elle ne peut pas être supprimée ou modifiée comme un fichier ordinaire. PrivaZer programme donc sa suppression pour le prochain démarrage du PC, et il supprime la ruche ainsi que ses journaux de transactions, Amcache.hve.LOG1 et Amcache.hve.LOG2, afin que les anciennes entrées ne puissent pas être relues dans le fichier. Au redémarrage suivant, ces fichiers sont effacés et Windows reconstruit un Amcache neuf et vide.

C’est pour cela que le redémarrage compte : c’est le moment où l’effacement a lieu réellement, pas seulement un nettoyage après. Les droits d’administrateur sont nécessaires pour la planifier.

Oui, et c’est précisément pour cela qu’ils comptent. Désinstaller un programme et supprimer ses fichiers ne supprime pas son entrée Amcache. Le chemin, le hachage, la taille, l’éditeur et la date de première apparition peuvent rester derrière, montrant que le programme a existé et fonctionné, même après que toute trace du programme lui-même ait disparu. Un examinateur peut s’en servir pour prouver l’utilisation à une date où rien d’autre sur la machine ne pointe vers elle. Le nettoyage d’Amcache est ce qui supprime ce record restant.

Oui. Amcache est un cache que Windows maintient pour la compatibilité et reconstruit automatiquement. Supprimer les entrées ne touche pas vos programmes installés, vos fichiers ni la stabilité du système. Windows recommence simplement à enregistrer à mesure que vous continuez à utiliser votre PC.

De nouvelles entrées apparaissent pour les programmes que vous exécutez après le nettoyage, ce qui est normal : Amcache est un journal d’activité en cours. Le nettoyage supprime la trace historique jusque-là, donc ce qu’un examinateur pouvait récupérer n’est que ce qui s’est passé depuis. Puisque l’effacement est effectué au démarrage suivant, redémarrez le PC après le nettoyage pour le terminer, puis exécutez PrivaZer périodiquement pour garder la trace courte.

Ce sont deux artefacts de compatibilité distincts qui sont souvent nettoyés ensemble. Amcache est une ruche sur disque (Amcache.hve) contenant des métadonnées riches par programme, y compris le hachage SHA-1. Shimcache (également appelé AppCompatCache) se trouve dans le registre sous Gestionnaire de session et stocke principalement les chemins de fichiers et les dates de dernière modification, conservés en mémoire et écrits au moment de l’arrêt. Les deux enregistrent ce qui est sur le PC, donc en nettoyer un n’est que la moitié du travail.

Pour le côté Shimcache, sa structure et le comportement d’arrêt qui complique son effacement, voir : Comment nettoyer Shimcache sous Windows.