Desktop Activity Moderator (DAM): Forensik erklärt
Was der Desktop Activity Moderator ist, warum sein Schlüssel auf Desktops meist leer ist, wie sich DAM von BAM unterscheidet und wie man ihn auf Laptops nutzt.
TL;DR. DAM (Desktop Activity Moderator) ist das Standby-Geschwister von BAM. Microsoft beschreibt ihn als Kerneltreiber, der Desktop-Prozesse anhält oder drosselt, wenn ein Gerät in den verbundenen Standby geht, der nur geladen wird, wenn die Hardware das unterstützt, und der auf Servern fehlt. Wenn er aufzeichnet, nutzt er denselben <SID>-Schlüssel und dasselbe Werteformat wie BAM unter Services\dam. Erwarten Sie ihn auf Laptops und Tablets mit Modern Standby, erwarten Sie auf den meisten Desktops nichts, und behandeln Sie, was Sie finden, als zweites, kleineres BAM.
Die meisten BAM-Artikel widmen DAM einen Satz. Das ist nachvollziehbar – im Image eines durchschnittlichen Desktops ist der Schlüssel leer. Auf einem modernen Laptop ist er es nicht, und dann sollte man wissen, was man vor sich hat. Zum Einstieg: der komplette BAM/DAM-Leitfaden.
Was Microsoft über DAM sagt
Microsofts Kompatibilitätsdokumentation beschreibt den Desktop Activity Moderator als eine der Windows-8-Funktionen für Geräte mit verbundenem Standby (Microsoft Learn). Die Kernpunkte:
- Er ist ein Kernelmodustreiber, der „beim Systemstart geladen und initialisiert wird, wenn das System verbundenen Standby unterstützt“ – bestimmt über das Feld
AOACvonSYSTEM_POWER_CAPABILITIES(Strukturreferenz). - Bei ausgeschaltetem Bildschirm im verbundenen Standby hält er Desktop-Prozesse in interaktiven Sitzungen an und drosselt solche in Sitzung 0 (Dienste).
- Bei eingeschaltetem Bildschirm ist er inaktiv.
- Er „ist auf Server-SKUs nicht vorhanden“.
Der verbundene Standby heißt in Microsofts Hardwaredokumentation inzwischen Modern Standby; dort wird beschrieben, wie Desktop-Apps während des Standbys pausiert werden (Überblick Modern Standby, Software vorbereiten).
Wo DAM-Einträge liegen
Gleicher Hive, gleiche Struktur wie BAM:
SYSTEM\ControlSet00X\Services\dam\State\UserSettings\<SID> (Windows 10 1809+, 11)
SYSTEM\ControlSet00X\Services\dam\UserSettings\<SID> (older layout)
Die Abdeckung der Parser ist unterschiedlich: Eric Zimmermans BamDam-Plugin führt dam\UserSettings unter seinen Schlüsselpfaden (siehe Tool-Vergleich), und unser BAM/DAM Parser liest bam und dam in beiden Formaten über alle Control Sets. Jeder Wert ist ein Pfad zu einer ausführbaren Datei (oder ein Paketfamilienname) mit einem REG_BINARY, dessen erste 8 Bytes ein FILETIME sind – siehe den Artikel zum Werteformat.
BAM und DAM im direkten Vergleich
| BAM | DAM | |
|---|---|---|
| Zweck | Hintergrundaktivität moderieren | Desktop-Apps im verbundenen Standby anhalten/drosseln |
| Treiber | bam.sys | dam.sys (Boutnaru) |
| Vorhanden auf | Windows 10 ab 1709, Windows 11 | Geräte mit verbundenem Standby/Modern Standby; nicht auf Server-SKUs |
| Schlüssel | Services\bam\State\UserSettings\<SID> | Services\dam\State\UserSettings\<SID> |
| Werteformat | Pfad → REG_BINARY, FILETIME zuerst | Gleich |
| Typischer Inhalt | Die meisten lokal gestarteten Programme der letzten ~Woche, pro Benutzer | Meist weniger Einträge; auf Desktops oft leer (ElcomSoft) |
| Forschungsstand | Per Reverse Engineering analysiert (Suhanov) | Überwiegend durch Beobachtung dokumentiert |
Die letzte Zeile ist der wichtige Vorbehalt. Die detaillierten Erkenntnisse zu BAM – Zeitstempel bei Prozessstart und -ende, Sieben-Tage-Bereinigung beim Start, Entfernen der Einträge gelöschter Dateien, keine Einträge für Wechsel- oder Netzwerkpfade – stammen aus der Analyse von bam.sys. Eine vergleichbare veröffentlichte Analyse der Aufzeichnung durch dam.sys haben wir nicht gefunden. Betrachten Sie diese Verhaltensweisen bei DAM als wahrscheinlich, nicht als gesichert.
Wann DAM hilft
Ein zweiter Zeuge. Erscheint dieselbe ausführbare Datei unter derselben SID in BAM und DAM mit nahen Zeitstempeln, haben Sie zwei unabhängige Schreibvorgänge, die auf dieselbe Aktivität zeigen. Nützlich, wenn ein Befund angefochten wird.
Eine andere Teilmenge. DAM betrifft Desktop-Prozesse rund um den Standby, seine Liste ist also keine Kopie der BAM-Liste. Im fiktiven Beispiel-Hive dieser Website enthält DAM für die Benutzerin alice nur explorer.exe, BAM dagegen acht Programme. Erwarten Sie keine Eins-zu-eins-Überschneidung.
Hardware-Einordnung. Ein befüllter DAM-Schlüssel ist ein schneller Hinweis, dass das Gerät Modern Standby unterstützt – typischerweise ein Laptop oder Tablet. Zusammen mit dem Hostnamen und den Netzwerk- und Energiedaten aus SRUM hilft er, das Gerät im Bericht zu beschreiben.
Wann DAM leer ist
Ein leerer oder fehlender dam-Schlüssel ist normal auf:
- Desktops und VMs ohne verbundenen Standby;
- Servern („auf Server-SKUs nicht vorhanden“);
- älteren Laptops mit klassischem S3-Energiesparmodus.
Hinterfragen sollte man ihn nur, wenn die Hardware eindeutig Modern Standby unterstützt, BAM für dieselben Benutzer befüllt ist und DAM in allen Control Sets leer ist. Selbst dann prüfen Sie Build und Energiekonfiguration, bevor Sie von Manipulation sprechen. Der Artikel zur Anti-Forensik listet die Signale, die tatsächlich auf eine Löschung hindeuten.
DAM mit dem Tool lesen
- Ziehen Sie
SYSTEM(undSOFTWAREfür Benutzernamen) auf den BAM/DAM Parser. - Nutzen Sie den Quellenfilter: „BAM + DAM“ zeigt beide, oder wählen Sie nur DAM.
- Die Spalte „Quelle“ zeigt bei diesen Zeilen
dam; der Detailbereich zeigt den vollständigen Schlüsselpfad. - Sortieren Sie nach Konto und Zeit, um DAM-Zeilen neben die BAM-Zeilen desselben Kontos zu legen.
Alles andere – Markierungen, Umschalter UTC/lokal, CSV/JSON-Export – funktioniert für DAM-Zeilen genauso.
Offene Fragen, die sich zu testen lohnen
Da die Aufzeichnung durch DAM nicht so öffentlich per Reverse Engineering analysiert wurde wie bei BAM, sollten Sie einige Verhaltensweisen auf einem Referenz-Laptop mit demselben Windows-Build wie Ihr Beweismittel prüfen, bevor Sie sich darauf stützen:
| Frage | Warum es wichtig ist | Wie testen |
|---|---|---|
| Werden DAM-Einträge wie bei BAM nach einer Woche bereinigt? | Zeigt, wie weit zurück ein leerer DAM-Schlüssel aussagekräftig ist | Bekanntes Programm starten, mehr als sieben Tage warten, neu starten, SYSTEM erneut exportieren |
| Überspringt DAM Wechsel- und Netzwerkpfade? | Entscheidet, ob ein Fehlen aussagekräftig ist | Dasselbe Test-Binary von lokaler Platte, USB-Stick und Freigabe starten |
| Wann wird der Zeitstempel aktualisiert? | Start, Ende, Eintritt in oder Austritt aus dem Standby | Ein Programm über einen Standby-Zyklus laufen lassen und mit den Zeiten von Sysmon-Ereignis 1 vergleichen |
| Welche Programme erhalten Einträge? | DAM zielt auf Desktop-Prozesse rund um den Standby | BAM- und DAM-Listen nach einem Tag normaler Nutzung vergleichen |
Dokumentieren Sie Build, Hardware und die genauen Schritte, und bewahren Sie die exportierten Hives auf: Ein reproduzierbarer Test wiegt in einem Bericht mehr als die Zusammenfassung eines Blogs – diesen eingeschlossen.
Häufige Fragen
Was ist der Unterschied zwischen BAM und DAM?
BAM moderiert Hintergrundaktivität auf jedem System ab Windows 10 1709. DAM hält Desktop-Apps an oder drosselt sie, während ein Gerät mit Modern Standby im Standby ist. Beide führen im SYSTEM-Hive benutzerbezogene Einträge aus ausführbarer Datei und Zeitstempel im gleichen Format; DAM enthält meist deutlich weniger Einträge.
Warum ist der DAM-Schlüssel in meinem Image leer?
Höchstwahrscheinlich unterstützt das Gerät kein Modern Standby (verbundenen Standby), sodass der DAM-Treiber nie geladen wurde. Das ist auf den meisten Desktops und Servern normal und für sich genommen kein Zeichen von Manipulation.
Quellen
- Microsoft Learn, Desktop Activity Moderator und Modern Standby.
- Maxim Suhanov, BAM internals (nur BAM).
- Shlomi Boutnaru, The Windows Forensic Journey – DAM.