Analizadores BAM: RegRipper, herramientas EZ, Velociraptor
Una mirada justa a las herramientas que analizan BAM y DAM: bam.pl, el plugin BamDam de EZ, Velociraptor, Plaso y BAM/DAM Parser. Cobertura y carencias.
Artículos etiquetados: #bam
BAM vs UserAssist: dos evidencias de ejecución por usuario
BAM y UserAssist vinculan la ejecución con un usuario. Comparamos ubicación, marcas de tiempo, contadores, lanzamientos gráficos o en segundo plano y retención.
BAM vs Prefetch vs ShimCache vs Amcache: ¿en cuál confiar?
Comparativa de las evidencias de ejecución en Windows: qué registran BAM, Prefetch, ShimCache y Amcache, cuánto tiempo lo conservan y cómo combinarlos.
Evidencia de ejecución con BAM: caso de movimiento lateral
Investigación ficticia en FIN-WKS-07 leída con BAM: phishing, cuenta de servicio secuestrada, escaneo, PsExec, RDP y rclone — y lo que BAM no pudo mostrar.
De SID a nombre de usuario en BAM: atribuir la ejecución
Cómo vincula BAM programas y cuentas: leer el SID, resolverlo con ProfileList, SAM o el dominio, los SID conocidos como SYSTEM y DWM, y las trampas a evitar.
Cómo analizar las claves BAM y DAM paso a paso
Flujo práctico para analizar BAM/DAM desde una colmena SYSTEM: recopilar, analizar en el navegador, acotar por usuario y control set, corroborar y exportar.
Limitaciones de BAM y antiforense: lo que BAM no ve
Purga a los siete días, ejecutables borrados, soportes extraíbles y de red, herramientas de consola, colmenas dirty y manipulación: los puntos ciegos de BAM.
Desktop Activity Moderator (DAM): análisis forense explicado
Qué es el Desktop Activity Moderator, por qué su clave está vacía en casi todos los sobremesa, en qué se diferencia de BAM y cómo aprovecharlo en portátiles.
BAM según la versión: Windows 10 1709, 1809, 11 y Server
Qué versiones de Windows tienen BAM y DAM, adónde se movió la clave en la 1809, cómo es un equipo actualizado y qué comprobar en Windows 11 y Windows Server.
Formato de los valores BAM: FILETIME, rutas e internos
Un valor de registro BAM byte a byte: el REG_BINARY de 24 bytes, el FILETIME, rutas de dispositivo o nombres de paquete, Version y SequenceNumber.
Clave de registro BAM: dónde está y cómo recopilarla
Rutas exactas de BAM y DAM según la versión de Windows, por qué CurrentControlSet no existe sin conexión y cómo adquirir SYSTEM con sus registros.
BAM/DAM en análisis forense: guía completa de BAM
Qué registra BAM en Windows, dónde están BAM y DAM en la colmena SYSTEM, qué demuestran, qué se les escapa y cómo leerlos en una investigación forense.