Jak wyczyścić Amcache w Windows?

Amcache to baza danych zgodności aplikacji systemu Windows. Windows wykorzystuje ją do zapamiętywania napotkanych programów, ale efektem ubocznym jest to, że staje się ona jednym z najbogatszych zapisów tego, co zostało uruchomione na Twoim komputerze. Znajduje się w gałęzi rejestru zapisanej na dysku pod adresem C:\Windows\AppCompat\Programs\Amcache.hve, obecnej w systemach Windows 8, 8.1, 10 i 11.

Dla każdego programu Amcache może przechowywać pełną ścieżkę pliku, jego rozmiar, skrót SHA-1 pliku wykonywalnego, datę kompilacji zapisaną w pliku, nazwę wydawcy i produktu oraz moment pierwszego zaobserwowania pliku. To szczegółowa, opatrzona znacznikami czasu lista uruchamianego oprogramowania, dokładnie to, co narzędzia śledcze odczytują, aby zrekonstruować historię użytkowania. Wyczyszczenie jej usuwa ten ślad.

W przeciwieństwie do shellbags, wpis Amcache nie zawiera części kosmetycznej: każde pole jest zapisem dotyczącym programu. To właśnie sprawia, że jest to ulubiony artefakt śledczy: pojedynczy wpis może udowodnić, że konkretny plik wykonywalny o konkretnym skrócie istniał i został uruchomiony w określonym dniu, długo po zniknięciu samego programu. PrivaZer usuwa te wpisy, dzięki czemu ślad uruchomienia nie pozostaje już w gałęzi rejestru.

Tak. PrivaZer wykrywa i czyści Amcache.hve w ramach skanowania, a także może wyczyścić je osobno.

Ponieważ Amcache.hve jest aktywną gałęzią rejestru, którą Windows utrzymuje załadowaną i zablokowaną podczas działania systemu, nie można jej usunąć ani edytować jak zwykłego pliku. Dlatego PrivaZer planuje jej usunięcie przy następnym uruchomieniu komputera i usuwa gałąź rejestru razem z jej dziennikami transakcji, Amcache.hve.LOG1 oraz Amcache.hve.LOG2, dzięki czemu stare wpisy nie mogą zostać odtworzone z powrotem w pliku. Przy następnym restarcie te pliki są czyszczone, a Windows odbudowuje nowy, pusty plik Amcache.

Dlatego restart ma znaczenie: to właśnie w tym momencie faktycznie dochodzi do wyczyszczenia, a nie tylko późniejszego porządkowania. Do zaplanowania tej operacji wymagane są uprawnienia administratora.

Tak, i właśnie dlatego mają znaczenie. Odinstalowanie programu i usunięcie jego plików nie usuwa jego wpisu w Amcache. Ścieżka, skrót, rozmiar, wydawca i data pierwszego wystąpienia mogą pozostać, dowodząc, że program istniał i był uruchamiany, nawet gdy zniknął już każdy inny jego ślad. Śledczy może wykorzystać to jako dowód użycia w dniu, w którym nic innego na komputerze na to nie wskazuje. Czyszczenie Amcache usuwa ten pozostały zapis.

Tak. Amcache to pamięć podręczna, którą Windows utrzymuje na potrzeby zgodności i odbudowuje automatycznie. Usunięcie wpisów nie wpływa na zainstalowane programy, pliki ani stabilność systemu. Windows po prostu zaczyna zapisywać dane od nowa w miarę korzystania z komputera.

Nowe wpisy pojawiają się dla programów uruchomionych po wyczyszczeniu, co jest normalne: Amcache to bieżący dziennik aktywności. Czyszczenie usuwa historyczny ślad sprzed tego momentu, więc śledczy mógłby odzyskać jedynie to, co wydarzyło się później. Ponieważ wyczyszczenie następuje przy kolejnym uruchomieniu, uruchom ponownie komputer po czyszczeniu, aby je dokończyć, a następnie uruchamiaj PrivaZer regularnie, by ślad pozostawał krótki.

To dwa odrębne artefakty zgodności, które często czyści się razem. Amcache to gałąź rejestru zapisana na dysku (Amcache.hve), przechowująca bogate metadane dla każdego programu, w tym skrót SHA-1. Shimcache (nazywany też AppCompatCache) znajduje się w rejestrze pod Session Manager i przechowuje głównie ścieżki plików oraz daty ostatniej modyfikacji, trzymane w pamięci i zapisywane na dysk przy wyłączaniu systemu. Oba zapisują, co znajdowało się na komputerze, więc wyczyszczenie tylko jednego z nich to zaledwie połowa pracy.

Więcej o Shimcache, jego strukturze oraz zachowaniu przy wyłączaniu systemu, które utrudnia jego usunięcie, znajdziesz tutaj: Jak wyczyścić Shimcache w Windows.