BAM / DAM (Background Activity Moderator)

Présentation

Le Background Activity Moderator (BAM) est un pilote de service introduit avec Windows 10 version 1709 pour brider les applications en arrière-plan. Le Desktop Activity Moderator (DAM) joue un rôle comparable, surtout sur les appareils à veille moderne. Pour cela, ils suivent les exécutables par utilisateur et stockent dans la ruche SYSTEM l'heure à laquelle chacun a été vu en cours d'exécution pour la dernière fois. C'est l'un des rares artefacts d'exécution rattachés au SID d'un utilisateur.

Emplacement

Chaque nom de valeur sous une clé de SID est un exécutable, écrit sous forme de chemin de périphérique (\Device\HarddiskVolume3\Windows\System32\cmd.exe) ou, pour les applications empaquetées, du nom de famille du package. Faites correspondre HarddiskVolumeN à une lettre de lecteur via MountedDevices ou la structure des volumes de l'image. Faites correspondre le SID à un compte via ProfileList dans la ruche SOFTWARE (voir SAM et comptes utilisateurs).

Windows 7 et 8 n'ont pas de BAM.

Ce que l'artefact prouve

• Une exécution par un utilisateur : la clé de SID indique sous quel compte le processus a tourné.
• La dernière date d'exécution de chaque exécutable.
• Il ne donne ni nombre d'exécutions, ni première exécution, ni ligne de commande, et ne conserve que l'activité récente (voir rétention).

Champs clés

Horodatages

Rétention et effacement

• Les entrées de plus de sept jours environ sont supprimées au démarrage : BAM couvre surtout la semaine précédant le dernier redémarrage. L'activité plus ancienne peut survivre dans les ruches SYSTEM des clichés instantanés.
• Supprimer la clé de SID d'un utilisateur ou certaines valeurs exige un accès de niveau SYSTEM à la ruche ; des manques par rapport au Prefetch ou à Amcache méritent un second examen.
• Les programmes lancés depuis un support amovible apparaissent aussi, avec le chemin de périphérique du volume amovible.

Collecte

• Cible KAPE : RegistryHivesSystem (SYSTEM et .LOG1/.LOG2) ; l'option --vss de KAPE ajoute les copies présentes dans les clichés instantanés.
• Velociraptor (Windows.Triage.Targets) : RegistryHivesSystem ; l'artefact Windows.Forensics.Bam analyse BAM en direct.
• Commandes natives :

reg query "HKLM\SYSTEM\CurrentControlSet\Services\bam\State\UserSettings" /s
reg save HKLM\SYSTEM E:\case\SYSTEM.hiv

Outils d'analyse

• Registry Explorer / RECmd (Eric Zimmerman) : navigation interactive dans les clés ; les fichiers batch communautaires de RECmd (comme Kroll_Batch.reb) exportent BAM/DAM en CSV.
• RegRipper : plugin bam.
• Velociraptor : Windows.Forensics.Bam.

Conseils d'investigation

• BAM étant rattaché au SID, c'est le moyen le plus rapide de répondre à « qui l'a lancé ? » : cherchez des outils sous un compte de service ou un compte local inattendu.
• Convertissez les chemins de périphérique avec soin : les numéros HarddiskVolume varient d'un système à l'autre.
• Corrélez avec UserAssist (lancements graphiques du même utilisateur) et avec les sessions de connexion des journaux d'événements.
• Pour un incident plus ancien, analysez la ruche SYSTEM de chaque cliché instantané afin de retrouver des entrées purgées.
• Analysez chaque ControlSet00x : les ruches hors ligne n'ont pas de CurrentControlSet (jeu de contrôle).