Comment nettoyer le shimcache sur Windows ?

Shimcache, également appelé AppCompatCache, est une fonctionnalité de compatibilité des applications Windows. Windows l’utilise pour décider si un programme a besoin d’une correction de compatibilité, mais ce faisant, il conserve une trace des programmes qu’il a traités, ce qui en fait un artefact d’exécution bien connu. Contrairement à Amcache, ce n’est pas un fichier sur disque : il se trouve dans le registre, sous HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache.

Chaque entrée conserve principalement le chemin complet du fichier et la date de dernière modification du fichier, dans l’ordre le plus récent et le premier, et sur certaines versions de Windows, un drapeau indiquant que le fichier a effectivement été exécuté. Cela suffit à montrer qu’un programme donné était présent sur le PC, c’est pourquoi les enquêteurs le lisent. Le nettoyer enlève cette traînée.

Shimcache stocke moins par entrée qu’Amcache : pas de hachage SHA-1, pas de nom d’éditeur. Mais le chemin ainsi que la date de dernière modification du fichier restent un artefact solide de preuve de présence, et il peut même lister des programmes qui ont été consultés mais jamais lancés. PrivaZer supprime ces entrées et la piste ne figure plus dans le registre.

Pour empêcher cela, PrivaZer ne se contente pas de vider la valeur du registre : il vide également la copie en mémoire du cache en utilisant les mêmes routines que Windows lui-même, ShimFlushCache (en apphelp.dll) et BaseFlushAppcompatCache (en kernel32.dll). Une fois la copie live vidée, il ne reste plus de cache obsolète à réécrire lors de l’arrêt. Parce qu’AppCompatCache se situe sous la ruche SYSTEM en direct, des droits d’administrateur sont requis.

Oui. PrivaZer détecte et efface les entrées AppCompatCache lors d’un scan, et peut les cibler seul. Il vidage ensuite la copie en mémoire du cache (via ShimFlushCache et BaseFlushAppcompatCache) afin que le nettoyage tienne, au lieu de réapparaître la prochaine fois que vous éteignez le PC. Des droits d’administrateur sont requis.

Oui. Supprimer le programme et supprimer ses fichiers ne permet pas d’effacer son entrée AppCompatCache. Le chemin et la date de dernière modification peuvent rester en arrière, indiquant que le programme était présent sur le PC, même après que le programme lui-même ait disparu. C’est exactement le genre de reste qu’un examinateur recherche, et le nettoyage de Shimcache est ce qui l’enlève.

Oui. AppCompatCache est un cache que Windows maintient pour la compatibilité et se reconstruit automatiquement. Le supprimer ne touche pas vos programmes installés, vos fichiers ou la stabilité du système. Windows recommence simplement à remplir le cache à mesure que vous continuez à utiliser le PC.

De nouvelles entrées s’accumulent à nouveau pour les programmes traités après le nettoyage, ce qui est normal : le cache est un enregistrement en cours. Le nettoyage supprime la trace historique jusqu’à ce point, et comme PrivaZer vidage la copie en mémoire, les anciennes données ne sont pas réécrites lors de l’arrêt suivant. Utilisez PrivaZer de temps en temps pour garder le sentier court.

Ce sont deux artefacts de compatibilité distincts, généralement netoyés ensemble. Shimcache (AppCompatCache) se trouve dans le registre, stocke principalement le chemin et la date de dernière modification, et est vidé sur le disque lors de l’arrêt. Amcache est un fichier ruche (Amcache.hve) avec des données par programme bien plus riches, y compris le hachage SHA-1 de l’exécutable. Dégager un seul sentier laisse l’autre sentier intact, donc les deux valent le coup d’être nettoyés.

Pour le côté Amcache et ce que contient sa ruche, voir : Comment nettoyer Amcache sous Windows.