Parseurs BAM comparés : RegRipper, outils EZ, Velociraptor
Comparatif équitable des outils qui analysent BAM et DAM : bam.pl, plugin BamDam d'EZ, Velociraptor, Plaso et BAM/DAM Parser. Couverture et lacunes.
Articles tagués: #bam
BAM vs UserAssist : deux preuves d'exécution par utilisateur
BAM et UserAssist relient l'exécution à un utilisateur. Emplacements, horodatages, compteurs, lancements via l'Explorateur ou non, rétention : le comparatif.
BAM vs Prefetch vs ShimCache vs Amcache : lequel croire ?
Comparatif des preuves d'exécution Windows : ce qu'enregistrent BAM, Prefetch, ShimCache et Amcache, combien de temps ils le gardent, et comment les combiner.
Preuve d'exécution avec BAM : un cas de mouvement latéral
Une enquête fictive sur FIN-WKS-07 lue à travers BAM : phishing, compte de service détourné, scan, PsExec, RDP et rclone — et ce que BAM ne pouvait pas montrer.
BAM, du SID au nom d'utilisateur : attribuer l'exécution
Comment BAM relie programmes et comptes : lire le SID, le résoudre via ProfileList, SAM ou le domaine, les SID bien connus (SYSTEM, DWM) et les pièges à éviter.
Analyser les clés de registre BAM et DAM, pas à pas
Méthode pour analyser BAM/DAM depuis une ruche SYSTEM : collecter, analyser dans le navigateur, cibler compte et control set, trier, corroborer, exporter.
Limites de BAM et anti-forensique : ce que BAM rate
Purge à sept jours, exécutables supprimés, supports amovibles et réseau, outils console, ruches dirty, altérations : les angles morts de BAM et leur détection.
Desktop Activity Moderator (DAM) : la forensique expliquée
Ce qu'est le Desktop Activity Moderator, pourquoi sa clé est vide sur la plupart des postes fixes, ce qui le distingue de BAM et comment l'exploiter.
BAM selon les versions : Windows 10 1709, 1809, 11, Server
Quelles versions de Windows ont BAM et DAM, où la clé a migré en 1809, à quoi ressemble une machine mise à niveau, et quoi vérifier sur Windows 11 et Server.
Format des valeurs BAM : FILETIME, chemins et internes
Une valeur BAM octet par octet : le REG_BINARY de 24 octets, le FILETIME, chemins de périphérique ou noms de package, Version, SequenceNumber et horodatages.
Clé de registre BAM : emplacement et collecte
Chemins exacts des clés BAM et DAM selon la version de Windows, pourquoi CurrentControlSet n'existe pas hors ligne, et comment acquérir SYSTEM et ses journaux.
BAM/DAM en forensique : le guide complet de BAM Windows
Ce que BAM enregistre sous Windows, où BAM et DAM se trouvent dans la ruche SYSTEM, ce qu'ils prouvent, ce qu'ils ratent et comment les analyser.