Он пишет в оперативку сначала, а потом только на диск. Он даже может после нахождения пароля некоторое время висесть в оперативке. По это самой причине вообще стирать к примеру бэд файл в процессе проверки бесполезно - потому что он в следующий раз опять его запишет полностью.