@port139 Blog

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

bam key と Program execution

HKLM\SYSTEM\CurrentControlSet\Services\bam\ キーに記録される、プログラム実行の痕跡について検証された記事が下記で参照できます。

padawan-4n6.hatenablog.com

私もこのレジストリキーについて検証してみたいと思います。
テスト環境は Windows 10 ver 1709 です。
テスト開始時点における、レジストリキーは、下記の状況です。すでに、幾つかのプログラム実行に関連した値が登録されています。

f:id:hideakii:20180224074823p:plain

 

 プログラム実行のサンプルとして、APT Simulatorを実行します。RUN EVERY TESTを選択しています。

f:id:hideakii:20180224080138p:plain

f:id:hideakii:20180224080555p:plain

APT Simulatorの実行後、レジストリキーを確認します。PowerShellやWscriptなどの値が追加された事を確認できます。

f:id:hideakii:20180224081050p:plain

 システムを再起動します。 

再起動後、mim.exe と p.exe の値が新たに登録されている事を確認できます。これらは、UserInitMprLogonScriptとRunキーに登録されているプログラムです。

f:id:hideakii:20180224081419p:plain

値には、FILETIMEが含まれているようですが、更新タイミングの詳細については未確認です。再起動しなくても、タイムスタンプが変化しているような気もします。

シフトキーを5回押し、cmd.exeを起動した後のレジストリキーは下記になります。タイムスタンプがCMD.EXEを起動した日時に変化しています。

f:id:hideakii:20180224082856p:plain

 


タイムスタンプの更新については、id:kasasagi_fさんがテストされていますので、そちらも参照してください。 

 

参考URL:

padawan-4n6.hatenablog.com

Background Activity Moderator Driver - Windows 10 Service - batcmd.com

github.com

  

f:id:hideakii:20180224073746j:plain