Glossaire
Background Activity Moderator (BAM)
Pilote noyau de Windows 10 1709+ (bam.sys) qui bride les applis en arrière-plan et garde, par utilisateur, une liste d'exécutables horodatés dans SYSTEM.
Le Background Activity Moderator est un pilote de service Windows (bam.sys) apparu avec Windows 10 version 1709. Il modère l'activité des applications en arrière-plan et, pour cela, stocke une clé de registre par SID utilisateur sous SYSTEM\ControlSet00X\Services\bam\State\UserSettings (ou bam\UserSettings avant la 1809). Chaque valeur est un chemin d'exécutable dont les données commencent par un FILETIME.
Pour l'enquêteur, c'est une preuve d'exécution par utilisateur couvrant environ la dernière semaine : la rétro-ingénierie de Maxim Suhanov montre que les entrées de plus de sept jours sont supprimées au démarrage.
Pour aller plus loin : le guide complet BAM/DAM, ou analysez une ruche avec le BAM/DAM Parser.