Криминалистические Артефакты: доказательства выполнения программы в системах Windows

Во время криминалистического анализа системы Windows часто важно понять, когда и как был запущен конкретный процесс.

Чтобы идентифицировать это действие, мы можем извлечь из целевой системы набор артефактов, полезных для сбора доказательств выполнения программы.

UserAssist

В системе Windows все программы на основе графического интерфейса, запускаемые с рабочего стола, отслеживаются в следующем разделе реестра:

Записи содержат два подраздела GUID ( Выполнение исполняемого файла CEBFF5CD, Выполнение файла ярлыка F4E57C4B ): каждый подраздел поддерживает список системных объектов, таких как программы, ярлыки и апплеты панели управления, к которым обратился пользователь.

Значения реестра в этих подразделах зашифрованы с использованием алгоритма ROT-13, который в основном заменяет символ с позицией другого символа 13 от него в таблице ASCII.

Все значения имеют кодировку ROT-13, например:

Background Activity Moderator (BAM)

BAM — это служба Windows, которая контролирует активность фоновых приложений.

Этот сервис появился в Windows 10 только после обновления Fall Creators — версия 1709

Он предоставляет полный путь к исполняемому файлу, который был запущен в системе, а также дату / время последнего выполнения и расположен в этом пути реестра:

Ветки содержат список путей и исполняемых файлов, а значением каждого из них является время последнего выполнения в формате Filetime (64-битный метод с прямым порядком байтов) в UTC:

RecentApps

!Актуально до версии Windows 10 сборки 1803 (не включительно)

Выполнение программы, запущенной в системе Win10, отслеживается в ключе RecentApps:

Каждый ключ GUID указывает на недавно запущенное приложение:

AppID = Имя приложения
LastAccessTime = Время последнего выполнения в UTC.
LaunchCount = Количество запусков

ShimCache

База данных совместимости приложений Windows используется для выявления возможных проблем совместимости приложений с исполняемыми файлами и отслеживает имя файла исполняемого файла, размер файла, время последнего изменения.

Записи о последних 1024 выполненных программ в ОС хранятся в параметре CacheMainSdb :

Вы можете использовать этот ключ для идентификации систем, на которых было запущено определенное вредоносное ПО, с помощью специального инструмента, такого как ShimCacheParser.py , от Mandiant ( https://github.com/mandiant/ShimCacheParser )

Заметки по параметру CacheMainSdb

• Для Windows 7/8/10 параметр содержит не более 1024 записей
• LastUpdateTime не существует в системах Win 7/ 8/10

Amcache

ProgramDataUpdater (задача, связанная со службой Application Experience ) использует файл Amcache.hve для хранения данных о первом выполнении программы (даже портабельной со съемного носителя). Файл расположен:

Файл можно проанализировать с помощью плагина amcache для программы RegRipper ( https://github.com/keydet89/RegRipper2.8 )

Для получения дополнительной информации об Amcache и Shimcache в криминалистическом анализе, пожалуйста, обратитесь к этой статье: Amcache и Shimcache в криминалистическом анализе

Jump Lists (список прыжков)

Панель задач Windows 7-10 (список переходов) разработана для того, чтобы пользователи могли «переходить» или получать доступ к элементам, которые они часто или недавно использовали.

Данные находятся в папке:

Каждая запись это уникальный файл с добавлением AppID соответствующего приложения.

Файлы списков переходов AutomaticDestinations представляют собой OLE Compound Files , содержащие несколько потоков, из которых:

• шестнадцатеричный номер, например, «1а»
• список

Каждый из шестнадцатеричных пронумерованных файлов содержит данные, аналогичные данным ярлыка Windows.

Данные могут быть извлечены и проанализированы с помощью синтаксического анализатора LNK , например lnk-parse ( https://github.com/lcorbasson/lnk-parse ).

Prefetch

Файлы предварительной загрузки Windows предназначены для ускорения процесса запуска приложения. Файлы Prefetch хранятся в папке

и содержит имя исполняемого файла, список Unicode библиотек DLL, используемых этим исполняемым файлом, счетчик количества выполнений исполняемого файла и отметку времени, указывающую время последнего запуска программы.

В этой папке хранятся данные о последних 128 исполняемых файлах на Win7 и последних 1024 на Win8-10.

Как получить список запускавшихся на компьютере программ, вытащив данные из файла Amcache.hve

Бывают ситуации, когда нужно узнать, когда и какие программы запускались на компьютере пользователя. Для этих целей можно использовать Проводник, редактор реестра, а также специальные утилиты вроде ExecutedProgramsList. С этими способами знакомы большинство продвинутых юзеров, но мало кому из них известно, что получить список недавно запускавшихся программ можно, проанализировав системный файл Amcache.hve .

Это файл реестра в формате REGF , расположенный в каталоге %SystemRoot%\AppCompat\Programs и содержащий информацию о запускаемых в системе приложениях.

Структура файла представлена набором записей, включающих в себя пути к исполняемым файлам программ и временные метки установки, запуска и удаления. Кроме того, файл хранит контрольные суммы (SHA1) запущенных программ. Поскольку файл постоянно используется Windows, его нельзя ни открыть напрямую, ни скопировать в другое расположение.

Чтобы его извлечь, вам придется либо загрузить компьютер с LiveCD и скопировать файл вручную, либо воспользоваться программами WinHex или R-Studio, позволяющими получать доступ к используемым системой файлам в обход драйвера NTFS .

В WinHex (запускать этот редактор нужно с правами администратора) необходимо выбрать в меню Tools -> Open Disk.

И указать системный раздел.

После того как программа создаст снапшот, перейдите в расположение C:\Windows\AppCompat\Programs , кликните по файлу Amcache.hve ПКМ, выберите «Recovery/Copy».

И укажите путь сохранения файла.

В R-Studio нужно выбрать системный раздел и создать его карту нажатием F5 .

После этого переходим в расположение Amcache.hve , отмечаем его и выполняем восстановление в любой каталог.

В общем, какой из этих способов извлечения покажется вам наиболее удобным, тот и используйте.

Amcache.hve — бинарный файл, для его анализа вам понадобится утилита RegRipper, скачать которую можно со страницы разработчика github.com/keydet89. Если вдруг релиз окажется недоступным, скачиваем инструмент по ссылке yadi.sk/d/oB3_4Dn-Wvpy_A.

Распакуйте архив с утилитой, откройте от имени администратора командную строку, перейдите в расположение файлов RegRipper , а затем выполните команду следующего вида:

rip -r путь-к-файлу-Amcache.hve -p amcache > amcache.txt

В результате в папке RegRipper будет создан текстовый лог amcache.txt.

Который вы сможете просмотреть обычным Блокнотом.

Как можно видеть из примера, отчет содержит пути к исполняемым файлам приложений и дату последнего запуска. Указывается также и контрольная сумма, по которой можно проверить безопасность файла, пробив полученный хэш по базе VirusTotal .

Amcache и Shimcache в криминалистическом анализе

Данные из Amcache и Shimcache могут предоставить временную шкалу того, какая программа была выполнена, когда она была впервые запущена и последний раз изменена.

Кроме того, эти артефакты предоставляют информацию о программе, касающуюся пути к файлу, его размера и хэша в зависимости от версии ОС.

Amcache

Amcache.hve это файл реестра, который хранит информацию о запускаемых приложениях в системе.

В Windows 8 Amcache.hve заменяет RecentFileCache.bcf и использует формат файла реестра Windows NT (REGF).

Каждая запись включает в себя путь выполнения, время первого выполнения, время удаления и первую установку.

Файл Amcache.hve также является важным артефактом для поиска следов анти-криминалистических, портабельных программ, а так же внешних устройств хранения данных.

Файл может быть проанализирован с помощью плагина amcache RegRipper :

Какие данные можно получить из файла Amcache.hv e?

В Amcache.hve записываются последние запущенные процессы, а так же перечисляется пути к исполняемым файлам, которые затем можно использовать для поиска необходимых данных.

Так же записывается SHA1 запущенной программы, что позволяет исследователь программу используя базы данных (например VirusTotal )

Shimcache

Shimcache , также известный как AppCompatCache , является компонентом базы данных совместимости приложений , созданной Microsoft (начиная с Windows XP ) и используемой операционной системой для выявления проблем совместимости приложений.

Кэш хранит различные метаданные файла в зависимости от операционной системы, такие как:

• Полный путь к файлу
• Размер файла
• $ Standard_Information (SI) Время последнего изменения
• Последнее обновление Shimcache
• Флаг выполнения процесса

Подобно файлу журнала, Shimcache также перезаписывает данные, что означает, что самые старые данные заменяются новыми записями.

Количество сохраняемых данных зависит от операционной системы. (1024 записей в системах Win 7/ 8/10 )

Это помогает разработчикам устранять неполадки унаследованных функций и содержит данные, относящиеся к функциям Windows: он используется для быстрого поиска, чтобы решить, нужно ли модулировать «шимминг» для совместимости или нет.

Shim — это небольшая библиотека, которая прозрачно обрабатывает взаимодействие между приложениями, чтобы обеспечить поддержку более старых API в более новой среде или наоборот.

Данные хранятся в ключе реестра CacheMainSdb , который можно найти:

Shimcache можно конвертировать в удобочитаемый вид при помощи ShimCacheParser.py от Mandiant:

Как можно использовать?

Shimcache отслеживает метаданные , такие как полный путь к файлу, дата последнего изменения и размер файла , но содержит только информацию до последнего запуска системы, так как текущие данные сохраняются только в памяти

Как можно исправить ошибки, связанные с Amcache.hve?

Такие проблемы Amcache.hve обычно вызваны повреждением файла, связанного с Office, или, в некоторых случаях, его случайным или намеренным удалением. Большую часть проблем, связанных с данными файлами, можно решить посредством скачивания и установки последней версии файла HVE. Мы также рекомендуем выполнить сканирование реестра, чтобы очистить все недействительные ссылки на Amcache.hve, которые могут являться причиной ошибки.

Вы можете скачать новую копию файла Amcache.hve для %%os%% (и ряда операционных систем Windows) в таблице ниже. Если у нас нет необходимой копии версии Amcache.hve, вы можете просто нажать кнопку Request (Запрос), чтобы её запросить. В нашей обширной базе представлены не все версии файлов; в этом случае вам следует обратиться к Microsoft.

Несмотря на то, что в большинстве случаев после размещения файла Amcache.hve в надлежащем месте на жёстком диске, сообщения об ошибках, связанных с этим файлом, больше не выводятся, следует выполнить быструю проверку, чтобы окончательно в этом убедиться. Повторно запустите Office, чтобы убедиться в успешном решении проблемы.

Amcache.hve Описание файла
Расширение файла:	HVE
Софт:
Версия программного обеспечения:	2016
Разработчик программного обеспечения:

Характеристики файла
Имя файла:	Amcache.hve (Загрузить)
Размер (в байтах):	1310720
Базовый файл ОС:	Windows 10

Часто задаваемые вопросы по быстрому устранению неполадок, связанных с Amcache.hve

Вопрос: Что такое Amcache.hve?

Amcache.hveтакже известен в качестве Hive Editor 3D Environment файла, разработанного Microsoft для установочного пакета Office.

Вопрос: Почему у меня возникают ошибки, связанные с Amcache.hve?

Проблемы HVE, связанные с Amcache.hve, как правило, возникают в результате отсутствия или повреждения файлов, главным образом в результате заражения вирусом / вредоносным ПО.

Вопрос: Когда возникают ошибки, связанные с Amcache.hve?

Включение компьютера, запуск Office или использование соответствующей функции программного обеспечения может привести к возникновению ошибок, связанных с Amcache.hve.

Вопрос: Как исправить ошибки, связанные с Amcache.hve?

​Полное устранение неполадок, связанных с Amcache.hve, осуществляется в несколько этапов. Следуйте нашим кратким инструкциям по устранению неполадок, представленным ниже, или используйте более подробное руководство, представленное далее в настоящей статье.

Вопрос: Быстрый способ устранения проблем, связанных с Amcache.hve

К счастью, Microsoft Windows включает в себя ряд средств, которые можно использовать для устранения проблем с Amcache.hve. В следующем уроке мы расскажем о простых шагах по использованию этих инструментов для решения возникших проблем.

Первым делом необходимо выполнить очистку компьютера от любых вирусов или вредоносных программ (рекомендуется выполнить сканирование с помощью Windows Defender / Защитника Windows), которые могут привести к повреждению файла Amcache.hve.

Посредством regedit, вручную найдите все недействительные записи или выполните автоматическое сканирование реестра, чтобы убедиться, что исправлены все недействительные записи Amcache.hve.

Замените Amcache.hve, скачав его новую копию и поместив её в исходное местоположение.

Чтобы заменить Amcache.hve попробуйте удалить и переустановить Office.

Используемое программное обеспечение:

Время для выполнения: 5 минут

Совместима с Windows XP, Vista, 7, 8 и 10

Идентификатор статьи: 42902

Быстрые ссылки

Другие известные версии файлов

Выберите версию ОС

Выберите программное обеспечение

Отображение результатов для:

Имя файла	Идентификатор файла (контрольная сумма MD5)	Размер файла	Загрузить
+ Amcache.hve	8ffbdcda8c2e6dc71a5b2ad428f2c8f9	1.25 MB
Программное обеспечение: Office 2016 Разработчик программного обеспечения: Microsoft Версия ОС: Windows 10 Архитектура: 64-разрядная (x64) Размер файла: 1310720 Контрольная сумма MD5: 8ffbdcda8c2e6dc71a5b2ad428f2c8f9 Контрольная сумма SHA1: e6ed401f16b4632e429b4b22933f6116e6503aa0 Контрольная сумма SHA256: fde5342236e70e4a329558bd163e74219b0cfa0c07725c329953583f88d6148a CRC32: 23056df8 Расположение каталога файлов: C:\Windows\AppCompat\Programs\
+ Amcache.hve	8ffbdcda8c2e6dc71a5b2ad428f2c8f9	1.25 MB
Программное обеспечение: Office 2013 Разработчик программного обеспечения: Microsoft Версия ОС: Windows 8 Архитектура: 64-разрядная (x64) Размер файла: 1310720 Контрольная сумма MD5: 8ffbdcda8c2e6dc71a5b2ad428f2c8f9 Контрольная сумма SHA1: e6ed401f16b4632e429b4b22933f6116e6503aa0 Контрольная сумма SHA256: fde5342236e70e4a329558bd163e74219b0cfa0c07725c329953583f88d6148a CRC32: 23056df8 Расположение каталога файлов: C:\Windows\AppCompat\Programs\
+ Amcache.hve	74f3fa2edceb760fde27f86b11db6ffb	512.00 KB
Программное обеспечение: Windows 10 Разработчик программного обеспечения: Microsoft Версия ОС: Windows 10 Архитектура: 64-разрядная (x64) Размер файла: 524288 Контрольная сумма MD5: 74f3fa2edceb760fde27f86b11db6ffb Контрольная сумма SHA1: 3178a1e62602935d08d100a71db3e3c13b6a4820 Контрольная сумма SHA256: 6e51e3d94c65929938d657842a15ce3da06a524db8ae2da1ffcca81bd0779409 CRC32: 3d39f310 Расположение каталога файлов: C:\Windows\AppCompat\Programs\
+ Amcache.hve	f96b2f39f80a47f0f7589016ca680abd	256.00 KB
Программное обеспечение: Windows 8.1 Разработчик программного обеспечения: Microsoft Версия ОС: Windows 8.1 Архитектура: 64-разрядная (x64) Размер файла: 262144 Контрольная сумма MD5: f96b2f39f80a47f0f7589016ca680abd Контрольная сумма SHA1: 8993b818b552dab62997cbdb4292481a34097e1a Контрольная сумма SHA256: 43661ddaf4483059fef32d35a2d7a3056812c100d783da2c16333673bad10e7f CRC32: cb19e8b3 Расположение каталога файлов: C:\Windows\AppCompat\Programs\
+ Amcache.hve	0b31a6899084ae35a453663341f4ff3f	256.00 KB
Программное обеспечение: Windows 8 Разработчик программного обеспечения: Microsoft Версия ОС: Windows 8 Архитектура: 64-разрядная (x64) Размер файла: 262144 Контрольная сумма MD5: 0b31a6899084ae35a453663341f4ff3f Контрольная сумма SHA1: e60b46ff12d8798111e32bb032ae37322721462f Контрольная сумма SHA256: 57f0877dff6755022db62f3ad600764eb547c9c860ce22a835351d06e68c2184 CRC32: d1c043a3 Расположение каталога файлов: C:\Windows\AppCompat\Programs\

Спасибо, ваш файл запроса был получен.

Распространенные сообщения об ошибках в Amcache.hve

Наиболее распространенные ошибки Amcache.hve, которые могут возникнуть на компьютере под управлением Windows, перечислены ниже:

• «Ошибка в файле Amcache.hve.»
• «Отсутствует файл Amcache.hve.»
• «Amcache.hve не найден.»
• «Не удалось загрузить Amcache.hve.»
• «Не удалось зарегистрировать Amcache.hve.»
• «Ошибка выполнения: Amcache.hve.»
• «Ошибка загрузки Amcache.hve.»

Такие сообщения об ошибках HVE могут появляться в процессе установки программы, когда запущена программа, связанная с Amcache.hve (например, Office), при запуске или завершении работы Windows, или даже при установке операционной системы Windows. Отслеживание момента появления ошибки Amcache.hve является важной информацией при устранении проблемы.

Причины ошибок в файле Amcache.hve

Проблемы Amcache.hve могут быть отнесены к поврежденным или отсутствующим файлам, содержащим ошибки записям реестра, связанным с Amcache.hve, или к вирусам / вредоносному ПО.

Более конкретно, данные ошибки Amcache.hve могут быть вызваны следующими причинами:

• Поврежденные ключи реестра Windows, связанные с Amcache.hve / Office.
• Вирус или вредоносное ПО, которые повредили файл Amcache.hve или связанные с Office программные файлы.
• Другая программа злонамеренно или по ошибке удалила файлы, связанные с Amcache.hve.
• Другая программа находится в конфликте с Office и его общими файлами ссылок.
• Поврежденная загрузка или неполная установка программного обеспечения Office.

Как исправить ошибки в Amcache.hve

Ниже описана последовательность действий по устранению ошибок, призванная решить проблемы Amcache.hve. Данная последовательность приведена в порядке от простого к сложному и от менее затратного по времени к более затратному, поэтому мы настоятельно рекомендуем следовать данной инструкции по порядку, чтобы избежать ненужных затрат времени и усилий.

Пожалуйста, учтите: Нажмите на изображение [ ] , чтобы развернуть инструкции по устранению проблем по каждому из шагов ниже. Вы также можете использовать изображение [ ], чтобы скрывать инструкции по мере их выполнения.

Шаг 1: Исправить записи реестра, связанные с Office

Иногда ошибки Amcache.hve и другие системные ошибки HVE могут быть связаны с проблемами в реестре Windows. Несколько программ может использовать файл Amcache.hve, но когда эти программы удалены или изменены, иногда остаются «осиротевшие» (ошибочные) записи реестра HVE.

В принципе, это означает, что в то время как фактическая путь к файлу мог быть изменен, его неправильное бывшее расположение до сих пор записано в реестре Windows. Когда Windows пытается найти файл по этой некорректной ссылке (на расположение файлов на вашем компьютере), может возникнуть ошибка Amcache.hve. Кроме того, заражение вредоносным ПО могло повредить записи реестра, связанные с Office. Таким образом, эти поврежденные записи реестра HVE необходимо исправить, чтобы устранить проблему в корне.

Редактирование реестра Windows вручную с целью удаления содержащих ошибки ключей Amcache.hve не рекомендуется, если вы не являетесь специалистом по обслуживанию ПК. Ошибки, допущенные при редактировании реестра, могут привести к неработоспособности вашего ПК и нанести непоправимый ущерб вашей операционной системе. На самом деле, даже одна запятая, поставленная не в том месте, может воспрепятствовать загрузке компьютера!

В силу данного риска для упрощения процесса рекомендуется использовать программу для очистки реестра ОС. Программа для очистки реестра автоматизирует процесс поиска недопустимых записей реестра, отсутствующих ссылок на файлы (например, вызывающих ошибку Amcache.hve) и неработающих ссылок в реестре. Перед каждым сканированием автоматически создается резервная копия с возможностью отмены любых изменений одним щелчком мыши, что обеспечивает защиту от возможности повреждения ПК.

Будучи серебряным партнером Microsoft, мы предоставляем программное обеспечение, которое поможет вам устранить следующие проблемы:

Предупреждение: Если вы не являетесь опытным пользователем ПК, мы НЕ рекомендуем редактирование реестра Windows вручную. Некорректное использование Редактора реестра может привести к серьезным проблемам и потребовать переустановки Windows. Мы не гарантируем, что неполадки, являющиеся результатом неправильного использования Редактора реестра, могут быть устранены. Вы пользуетесь Редактором реестра на свой страх и риск.

Перед тем, как вручную восстанавливать реестр Windows, необходимо создать резервную копию, экспортировав часть реестра, связанную с Amcache.hve (например, Office):

1. Нажмите на кнопку Начать.
2. Введите «command» в строке поиска. ПОКА НЕ НАЖИМАЙТЕENTER!
3. Удерживая клавиши CTRL-Shift на клавиатуре, нажмите ENTER.
4. Будет выведено диалоговое окно для доступа.
5. Нажмите Да.
6. Черный ящик открывается мигающим курсором.
7. Введите «regedit» и нажмите ENTER.
8. В Редакторе реестра выберите ключ, связанный с Amcache.hve (например, Office), для которого требуется создать резервную копию.
9. В меню Файл выберите Экспорт.
10. В списке Сохранить в выберите папку, в которую вы хотите сохранить резервную копию ключа Office.
11. В поле Имя файла введите название файла резервной копии, например «Office резервная копия».
12. Убедитесь, что в поле Диапазон экспорта выбрано значение Выбранная ветвь.
13. Нажмите Сохранить.
14. Файл будет сохранен с расширением .reg.
15. Теперь у вас есть резервная копия записи реестра, связанной с Amcache.hve.

Следующие шаги при ручном редактировании реестра не будут описаны в данной статье, так как с большой вероятностью могут привести к повреждению вашей системы. Если вы хотите получить больше информации о редактировании реестра вручную, пожалуйста, ознакомьтесь со ссылками ниже.

Мы не несем никакой ответственности за результаты действий, совершенных по инструкции, приведенной ниже — вы выполняете эти задачи на свой ​​страх и риск.

Шаг 2: Проведите полное сканирование вашего компьютера на вредоносное ПО

Есть вероятность, что ошибка Amcache.hve может быть связана с заражением вашего компьютера вредоносным ПО. Эти вредоносные злоумышленники могут повредить или даже удалить файлы, связанные с HVE. Кроме того, существует возможность, что ошибка Amcache.hve связана с компонентом самой вредоносной программы.

Совет: Если у вас еще не установлены средства для защиты от вредоносного ПО, мы настоятельно рекомендуем использовать Emsisoft Anti-Malware (скачать). В отличие от других защитных программ, данная программа предлагает гарантию удаления вредоносного ПО.

Шаг 3: Очистить систему от мусора (временных файлов и папок) с помощью очистки диска (cleanmgr)

Со временем ваш компьютер накапливает ненужные файлы в связи с обычным интернет-серфингом и повседневным использованием компьютера. Если такие ненужные файлы иногда не удалять, они могут привести к снижению быстродействия Office или к ошибке Amcache.hve, возможно вследствие конфликтов файлов или перегрузки жесткого диска. Удаление таких временных файлов при помощи утилиты Очистка диска может не только устранить ошибку Amcache.hve, но и существенно повысить быстродействие вашего компьютера.

Совет: Хотя утилита Очистки диска является прекрасным встроенным инструментом, она удаляет не все временные файлы с вашего компьютера. Другие часто используемые программы, такие как Microsoft Office, Firefox, Chrome, Live Messenger, а также сотни других программ не поддаются очистке при помощи программы Очистка диска (включая некоторые программы Microsoft).

В силу недостатков менеджера очистки диска Windows (cleanmgr) мы настоятельно рекомендуем выполнять очистку вашего компьютера с помощью специального программного обеспечения для очистки жесткого диска / защиты конфиденциальности.

Будучи серебряным партнером Microsoft, мы предоставляем программное обеспечение для очистки временных файлов:

Как запустить Очистку диска (cleanmgr) (Windows XP, Vista, 7, 8 и 10):

1. Нажмите на кнопку Начать.
2. Введите «command» в строке поиска. ПОКА НЕ НАЖИМАЙТЕENTER!
3. Удерживая клавиши CTRL-Shift на клавиатуре, нажмите ENTER.
4. Будет выведено диалоговое окно для доступа.
5. Нажмите Да.
6. Черный ящик открывается мигающим курсором.
7. Введите «cleanmgr» и нажмите ENTER.
8. Программа Очистка диска приступит к подсчету занятого места на диске, которое вы можете освободить.
9. Будет открыто диалоговое окно Очистка диска, содержащее флажки, которые вы можете выбрать. В большинстве случаев категория «Временные файлы» занимает большую часть дискового пространства.
10. Установите флажки напротив категорий, которые вы хотите использовать для очистки диска, и нажмите OK.

Шаг 4: Обновите драйверы устройств на вашем компьютере

Ошибки Amcache.hve могут быть связаны с повреждением или устареванием драйверов устройств. Драйверы с легкостью могут работать сегодня и перестать работать завтра по целому ряду причин. Хорошая новость состоит в том, что чаще всего вы можете обновить драйверы устройства, чтобы устранить проблему с HVE.

Вы можете потратить неоправданно много сил на поиск необходимого драйвера Amcache.hve для вашего аппаратного устройства, даже если вы будете искать на веб-сайте самого Microsoft или связанного производителя. Даже при наличии опыта поиска, загрузки и обновления драйверов вручную, данный процесс все равно может оказаться крайне трудоёмким и чрезвычайно раздражающим. Установка неверного драйвера или просто несовместимой версии нужного драйвера может усугубить имеющиеся проблемы.

В силу времязатратности и сложности процесса обновления драйверов мы настоятельно рекомендуем использовать программное обеспечение для обновления драйверов. Средство обновления драйверов обеспечивает установку правильных версий драйверов для вашего оборудования, а также создает резервную копию ваших текущих драйверов перед внесением любых изменений. Сохранение резервной копии драйвера обеспечивает уверенность в том, что вы можете откатить любой драйвер до предыдущей версии (при необходимости).

Будучи серебряным партнером Microsoft, мы предоставляем программное обеспечение, которое поможет вам обновить следующие драйверы:

Пожалуйста, учтите: Ваш файл Amcache.hve может и не быть связан с проблемами в драйверах устройств, но всегда полезно убедиться, что на вашем компьютере установлены новейшие версии драйверов оборудования, чтобы максимизировать производительность вашего ПК.

Шаг 5: Используйте Восстановление системы Windows, чтобы «Отменить» последние изменения в системе

Восстановление системы Windows позволяет вашему компьютеру «отправиться в прошлое», чтобы исправить проблемы Amcache.hve. Восстановление системы может вернуть системные файлы и программы на вашем компьютере к тому времени, когда все работало нормально. Это потенциально может помочь вам избежать головной боли от устранения ошибок, связанных с HVE.

Пожалуйста, учтите: использование восстановления системы не повлияет на ваши документы, изображения или другие данные.

Чтобы использовать Восстановление системы (Windows XP, Vista, 7, 8 и 10):

1. Нажмите на кнопку Начать.
2. В строке поиска введите «Восстановление системы» и нажмите ENTER.
3. В окне результатов нажмите Восстановление системы.
4. Введите пароль администратора (при появлении запроса).
5. Следуйте инструкциям Мастера для выбора точки восстановления.
6. Восстановить ваш компьютер.

Шаг 6: Удалите и установите заново программу Office, связанную с Amcache.hve

Если ошибка Amcache.hve связана с определённой программой, то её можно решить посредством переустановки программного обеспечения Office.

Инструкции для Windows 7 и Windows Vista:

1. Откройте «Программы и компоненты», нажав на кнопку Пуск.
2. Нажмите Панель управления в меню справа.
3. Нажмите Программы.
4. Нажмите Программы и компоненты.
5. Найдите Office в столбце Имя.
6. Нажмите на запись Office.
7. Нажмите на кнопку Удалить в верхней ленте меню.
8. Следуйте инструкциям на экране для завершения удаления Office.

Инструкции для Windows XP:

1. Откройте «Программы и компоненты», нажав на кнопку Пуск.
2. Нажмите Панель управления.
3. Нажмите Установка и удаление программ.
4. Найдите Office в списке Установленные программы.
5. Нажмите на запись Office.
6. Нажмите на кнопку Удалить справа.
7. Следуйте инструкциям на экране для завершения удаления Office.

Инструкции для Windows 8:

1. Установите указатель мыши в левой нижней части экрана для показа изображения меню Пуск.
2. Щелкните правой кнопкой мыши для вызова Контекстного меню Пуск.
3. Нажмите Программы и компоненты.
4. Найдите Office в столбце Имя.
5. Нажмите на запись Office.
6. Нажмите Удалить/изменить в верхней ленте меню.
7. Следуйте инструкциям на экране для завершения удаления Office.

После того, как вы успешно удалили программу, связанную с Amcache.hve (например, Office), заново установите данную программу, следуя инструкции Microsoft.

Совет: Если вы абсолютно уверены, что ошибка HVE связана с определенной программой Microsoft, удаление и повторная установка программы, связанной с Amcache.hve с большой вероятностью решит вашу проблему.

Шаг 7: Запустите проверку системных файлов Windows («sfc /scannow»)

Проверка системных файлов представляет собой удобный инструмент, включаемый в состав Windows, который позволяет просканировать и восстановить поврежденные системные файлы Windows (включая те, которые имеют отношение к Amcache.hve). Если утилита проверки системных файлов обнаружила проблему в HVE или другом важном системном файле, она предпримет попытку заменить проблемные файлы автоматически.

Чтобы запустить проверку системных файлов (Windows XP, Vista, 7, 8 и 10):

1. Нажмите на кнопку Начать.
2. Введите «command» в строке поиска. ПОКА НЕ НАЖИМАЙТЕENTER!
3. Удерживая клавиши CTRL-Shift на клавиатуре, нажмите ENTER.
4. Будет выведено диалоговое окно для доступа.
5. Нажмите Да.
6. Черный ящик открывается мигающим курсором.
7. Введите «sfc /scannow» и нажмите ENTER.
8. Проверка системных файлов начнет сканирование на наличие проблем Amcache.hve и других системных файлов (проявите терпение — проверка может занять длительное время).
9. Следуйте командам на экране.

Шаг 8: Установите все доступные обновления Windows

Microsoft постоянно обновляет и улучшает системные файлы Windows, связанные с Amcache.hve. Иногда для решения проблемы HVE нужно просто напросто обновить Windows при помощи последнего пакета обновлений или другого патча, которые Microsoft выпускает на постоянной основе.

Чтобы проверить наличие обновлений Windows (Windows XP, Vista, 7, 8 и 10):

1. Нажмите на кнопку Начать.
2. Введите «update» в строке поиска и нажмите ENTER.
3. Будет открыто диалоговое окно Обновление Windows.
4. Если имеются доступные обновления, нажмите на кнопку Установить обновления.

Шаг 9: Произведите чистую установку Windows

Предупреждение: Мы должны подчеркнуть, что переустановка Windows займет очень много времени и является слишком сложной задачей, чтобы решить проблемы Amcache.hve. Во избежание потери данных вы должны быть уверены, что вы создали резервные копии всех важных документов, изображений, программ установки программного обеспечения и других персональных данных перед началом процесса. Если вы сейчас е создаете резервные копии данных, вам стоит немедленно заняться этим (скачать рекомендованное решение для резервного копирования [MyPCBackup]), чтобы защитить себя от безвозвратной потери данных.

Данный шаг — последний вариант в попытке решить проблему, связанную с Amcache.hve. При переустановке Windows все файлы с вашего жёсткого диска будут удалены, и вы сможете начать работу с абсолютно с новой системой. Кроме того, чистая установка Windows также позволит быстро удалить весь «мусор», накопившийся в ходе повседневного использования компьютера.

Пожалуйста, учтите: Если проблема Amcache.hve не устранена после чистой установки Windows, это означает, что проблема HVE ОБЯЗАТЕЛЬНО связана с аппаратным обеспечением. В таком случае, вам, вероятно, придется заменить соответствующее оборудование, вызывающее ошибку Amcache.hve.

Проблема с Amcache.hve все еще не устранена?

Обращайтесь к нам в любое время в социальных сетях для получения дополнительной помощи:

Об авторе: Джей Гитер (Jay Geater) является президентом и генеральным директором корпорации Solvusoft — глобальной компании, занимающейся программным обеспечением и уделяющей основное внимание новаторским сервисным программам. Он всю жизнь страстно увлекался компьютерами и любит все, связанное с компьютерами, программным обеспечением и новыми технологиями.

Отобразить файлы HVE в алфавитном порядке:

Вы загружаете пробное программное обеспечение. Подписка на один год стоимостью $39,95 необходима для разблокировки всех функций приложения. Подписка обновляется автоматически по завершению (Узнать больше). Нажав на кнопку «Начать загрузку» и установив «Софт»», я подтверждаю, что прочитал(а) и согласен(на) с Пользовательским соглашением и Политикой конфиденциальности Solvusoft.