Glossar
Background Activity Moderator (BAM)
Kerneltreiber ab Windows 10 1709 (bam.sys), der Hintergrund-Apps drosselt und im SYSTEM-Hive pro Benutzer eine Liste ausführbarer Dateien mit Zeitstempel führt.
Der Background Activity Moderator ist ein Windows-Diensttreiber (bam.sys), der mit Windows 10 Version 1709 eingeführt wurde. Er moderiert die Aktivität von Hintergrundanwendungen und legt dafür pro Benutzer-SID einen Registry-Schlüssel unter SYSTEM\ControlSet00X\Services\bam\State\UserSettings an (vor 1809 bam\UserSettings). Jeder Wert ist ein Pfad zu einer ausführbaren Datei, dessen Daten mit einem FILETIME beginnen.
Für Ermittler ist das ein benutzerbezogener Nachweis der Programmausführung für etwa die letzte Woche: Das Reverse Engineering von Maxim Suhanov zeigt, dass Einträge älter als sieben Tage beim Systemstart entfernt werden.
Mehr dazu im kompletten BAM/DAM-Leitfaden, oder werten Sie einen Hive mit dem BAM/DAM Parser aus.