Hoe schoont u Amcache op onder Windows?

Amcache is een Windows-database voor toepassingscompatibiliteit. Windows gebruikt deze om programma's te onthouden die het is tegengekomen, maar als bijwerking wordt het een van de rijkste registraties van wat er op uw pc is uitgevoerd. Het bevindt zich in een registerhive die op schijf is opgeslagen op C:\Windows\AppCompat\Programs\Amcache.hve, aanwezig op Windows 8, 8.1, 10 en 11.

Voor elk programma kan Amcache het volledige bestandspad, de bestandsgrootte, een SHA-1-hash van het uitvoerbare bestand, de compilatiedatum die in het bestand is verwerkt, de uitgevers- en productnaam, en het tijdstip waarop het bestand voor het eerst werd gezien, bijhouden. Dat is een gedetailleerde, van tijdstempels voorziene lijst van software die is uitgevoerd, en het is precies wat forensische tools uitlezen om het gebruik te reconstrueren. Door het op te schonen verdwijnt dat spoor.

In tegenstelling tot shellbags heeft een Amcache-vermelding geen cosmetisch onderdeel: elk veld is een registratie over een programma. Dat maakt het een geliefd forensisch artefact: één vermelding kan bewijzen dat een specifiek uitvoerbaar bestand, met een specifieke hash, op een specifieke datum bestond en werd uitgevoerd, lang nadat het programma zelf is verdwenen. PrivaZer verwijdert deze vermeldingen zodat het uitvoeringsspoor niet langer in de hive staat.

Ja. PrivaZer detecteert en wist Amcache.hve als onderdeel van een scan, en kan het ook afzonderlijk aanpakken.

Omdat Amcache.hve een actieve hive is die Windows tijdens het gebruik geladen en vergrendeld houdt, kan deze niet worden verwijderd of bewerkt zoals een gewoon bestand. PrivaZer plant de verwijdering daarom in voor de volgende opstart van de pc, en verwijdert de hive samen met de bijbehorende transactielogboeken, Amcache.hve.LOG1 en Amcache.hve.LOG2, zodat de oude vermeldingen niet terug in het bestand kunnen worden afgespeeld. Bij de volgende herstart worden deze bestanden gewist en bouwt Windows een nieuwe, lege Amcache op.

Daarom is de herstart belangrijk: dat is het moment waarop het wissen daadwerkelijk plaatsvindt, niet slechts een opruiming achteraf. Om dit in te plannen zijn beheerdersrechten vereist.

Ja, en dat is precies waarom ze belangrijk zijn. Het verwijderen van een programma en de bijbehorende bestanden verwijdert de Amcache-vermelding niet. Het pad, de hash, de grootte, de uitgever en de datum van eerste waarneming kunnen achterblijven, waaruit blijkt dat het programma bestond en werd uitgevoerd, zelfs nadat elk spoor van het programma zelf is verdwenen. Een onderzoeker kan dit gebruiken om gebruik op een datum te bewijzen, zelfs als niets anders op de machine daarnaar wijst. Door Amcache op te schonen verwijdert u dit achtergebleven bewijs.

Ja. Amcache is een cache die Windows onderhoudt voor compatibiliteit en die automatisch wordt heropgebouwd. Het verwijderen van vermeldingen heeft geen invloed op uw geïnstalleerde programma's, uw bestanden of de systeemstabiliteit. Windows begint gewoon opnieuw te registreren zodra u uw pc blijft gebruiken.

Er verschijnen nieuwe vermeldingen voor programma's die u na het opschonen uitvoert, en dat is normaal: Amcache is een doorlopend activiteitenlogboek. Opschonen verwijdert het historische spoor tot dat moment, zodat een onderzoeker alleen kan achterhalen wat er sindsdien is gebeurd. Omdat het wissen bij de volgende opstart wordt uitgevoerd, start u de pc na het opschonen opnieuw op om dit te voltooien, en voert u PrivaZer daarna regelmatig uit om het spoor kort te houden.

Het zijn twee afzonderlijke compatibiliteitsartefacten die vaak samen worden opgeschoond. Amcache is een hive op schijf (Amcache.hve) met uitgebreide metadata per programma, inclusief de SHA-1-hash. Shimcache (ook wel AppCompatCache genoemd) bevindt zich in het register onder Session Manager en bevat voornamelijk bestandspaden en datums van laatste wijziging; het wordt in het geheugen bijgehouden en pas bij het afsluiten weggeschreven. Beide registreren wat er op de pc aanwezig is geweest, dus het opschonen van slechts één ervan is maar het halve werk.

Voor de Shimcache-kant, de structuur ervan en het afsluitgedrag waardoor het lastig te wissen is, zie: Hoe schoont u Shimcache op onder Windows.