Artefakt
BAM / DAM (Background Activity Moderator)
Windows-tjänst i SYSTEM-registret som loggar fullständig sökväg och senaste körningstidpunkt för applikationer per användare.
🔬 Forensisk Betydelse & Utredningsmetodik
Ett av de mest pålitliga bevisen för programkörning i Windows 10/11, som inte påverkas av vanliga rengöringsverktyg.
⚙️ Tekniska Parametrar & Verktygsstöd
- Filsystemsplacering (på undersökt media):
HKLM\SYSTEM\CurrentControlSet\Services\bam\State\UserSettings\<SID> (på undersökt system) - Forensiska verktyg: BAMParser RegRipper
🔍 Förekomst i Forensix Intelligence & Fallstudier
📰 Falska LastPass Authenticator-installerare missbrukar Microsoft-signerad drivrutin för att döda EDR och distribuera Rapuncel
📰 Dold Meta Muse-inställning låter skadlig kod förvandla Metas Mac-AI till en smygande bakdörr
📰 Tredje Kina-kopplade aktören utnyttjar Chrome–Windows-nolldagskedja via falska webbplatser – levererar CLEANGULP
📰 CISA för in Zyxel-switch i KEV – Arctic Wolf varnar för aktiv SYSTEM-eskalering i Veeam Agent
📰 Unbound patchar kritisk sårbarhet i DNSSEC-validering: Risk för heap-överskrivning och fjärrkodskörning