Glosario
Background Activity Moderator (BAM)
Controlador del kernel de Windows 10 1709+ (bam.sys) que limita las apps en segundo plano y guarda por usuario una lista de ejecutables con marca de tiempo.
El Background Activity Moderator es un controlador de servicio de Windows (bam.sys) introducido con Windows 10 versión 1709. Modera la actividad de las aplicaciones en segundo plano y, para ello, guarda una clave de registro por SID de usuario en SYSTEM\ControlSet00X\Services\bam\State\UserSettings (o bam\UserSettings antes de la 1809). Cada valor es la ruta de un ejecutable cuyos datos empiezan por un FILETIME.
Para el investigador es una evidencia de ejecución por usuario que cubre aproximadamente la última semana: la ingeniería inversa de Maxim Suhanov muestra que las entradas de más de siete días se eliminan al arrancar.
Más información en la guía completa de BAM/DAM, o analiza una colmena con el BAM/DAM Parser.