BAM vs UserAssist: dos evidencias de ejecución por usuario
BAM y UserAssist vinculan la ejecución con un usuario. Comparamos ubicación, marcas de tiempo, contadores, lanzamientos gráficos o en segundo plano y retención.
Artículos etiquetados: #program-execution
BAM vs Prefetch vs ShimCache vs Amcache: ¿en cuál confiar?
Comparativa de las evidencias de ejecución en Windows: qué registran BAM, Prefetch, ShimCache y Amcache, cuánto tiempo lo conservan y cómo combinarlos.
Evidencia de ejecución con BAM: caso de movimiento lateral
Investigación ficticia en FIN-WKS-07 leída con BAM: phishing, cuenta de servicio secuestrada, escaneo, PsExec, RDP y rclone — y lo que BAM no pudo mostrar.
De SID a nombre de usuario en BAM: atribuir la ejecución
Cómo vincula BAM programas y cuentas: leer el SID, resolverlo con ProfileList, SAM o el dominio, los SID conocidos como SYSTEM y DWM, y las trampas a evitar.
Cómo analizar las claves BAM y DAM paso a paso
Flujo práctico para analizar BAM/DAM desde una colmena SYSTEM: recopilar, analizar en el navegador, acotar por usuario y control set, corroborar y exportar.
Limitaciones de BAM y antiforense: lo que BAM no ve
Purga a los siete días, ejecutables borrados, soportes extraíbles y de red, herramientas de consola, colmenas dirty y manipulación: los puntos ciegos de BAM.
BAM/DAM en análisis forense: guía completa de BAM
Qué registra BAM en Windows, dónde están BAM y DAM en la colmena SYSTEM, qué demuestran, qué se les escapa y cómo leerlos en una investigación forense.