Hoe schoont u Shimcache op onder Windows?

Shimcache, ook wel AppCompatCache genoemd, is een Windows-functie voor toepassingscompatibiliteit. Windows gebruikt deze om te bepalen of een programma een compatibiliteitsoplossing nodig heeft, maar houdt daarbij een registratie bij van programma's die zijn verwerkt, waardoor het een bekend uitvoeringsartefact wordt. In tegenstelling tot Amcache is dit geen bestand op de schijf: het bevindt zich in het register, onder HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache.

Elke vermelding bevat voornamelijk het volledige bestandspad en de datum van laatste wijziging van het bestand, in volgorde van meest recent eerst, en op sommige Windows-versies een vlag die aangeeft dat het bestand daadwerkelijk is uitgevoerd. Dat is genoeg om aan te tonen dat een bepaald programma op de pc aanwezig was, en dat is waarom onderzoekers het lezen. Door het op te schonen verdwijnt dat spoor.

Shimcache slaat minder per vermelding op dan Amcache: geen SHA-1-hash, geen uitgeversnaam. Maar het pad plus de datum van laatste wijziging van het bestand blijft een solide bewijs-van-aanwezigheid-artefact, en het kan zelfs programma's vermelden waar naartoe is gebladerd maar die nooit zijn gestart. PrivaZer verwijdert deze vermeldingen zodat het spoor niet langer in het register staat.

Om dit te voorkomen, wist PrivaZer niet alleen de registerwaarde: het spoelt ook de kopie in het geheugen van de cache door met dezelfde routines die Windows zelf gebruikt, ShimFlushCache (in apphelp.dll) en BaseFlushAppcompatCache (in kernel32.dll). Met de actieve kopie doorgespoeld, is er geen verouderde cache meer over om bij het afsluiten te worden teruggeschreven. Omdat AppCompatCache zich onder de actieve SYSTEM-hive bevindt, zijn beheerdersrechten vereist.

Ja. PrivaZer detecteert en wist de AppCompatCache-vermeldingen als onderdeel van een scan, en kan ze ook afzonderlijk aanpakken. Vervolgens spoelt het de kopie in het geheugen van de cache door (via ShimFlushCache en BaseFlushAppcompatCache) zodat de opschoning standhoudt, in plaats van de volgende keer dat u de pc uitzet weer terug te komen. Beheerdersrechten zijn vereist.

Ja. Het verwijderen van het programma en de bijbehorende bestanden wist de AppCompatCache-vermelding niet. Het pad en de datum van laatste wijziging kunnen achterblijven, waaruit blijkt dat het programma op de pc aanwezig was, zelfs nadat het programma zelf is verdwenen. Dat is precies het soort achtergebleven bewijs waar een onderzoeker naar zoekt, en door Shimcache op te schonen verwijdert u het.

Ja. AppCompatCache is een cache die Windows onderhoudt voor compatibiliteit en die automatisch wordt heropgebouwd. Het wissen ervan raakt uw geïnstalleerde programma's, uw bestanden of de systeemstabiliteit niet aan. Windows begint de cache gewoon weer te vullen terwijl u de pc blijft gebruiken.

Er bouwen zich weer nieuwe vermeldingen op voor programma's die na het opschonen zijn verwerkt, wat normaal is: de cache is een doorlopend register. Opschonen verwijdert het historische spoor tot dat moment, en omdat PrivaZer de kopie in het geheugen doorspoelt, worden de oude gegevens niet bij de volgende afsluiting teruggeschreven. Voer PrivaZer regelmatig uit om het spoor kort te houden.

Het zijn twee afzonderlijke compatibiliteitsartefacten, meestal samen opgeschoond. Shimcache (AppCompatCache) bevindt zich in het register, slaat voornamelijk het pad en de datum van laatste wijziging op, en wordt bij het afsluiten naar de schijf weggeschreven. Amcache is een hive-bestand (Amcache.hve) met veel rijkere gegevens per programma, inclusief de SHA-1-hash van het uitvoerbare bestand. Het wissen van slechts één ervan laat het andere spoor intact, dus beide zijn het opschonen waard.

Voor de Amcache-kant en wat de hive ervan bevat, zie: Hoe schoont u Amcache op onder Windows.