mem.exe
é uma aplicação de 16 bits transportada de janelas de 16 bits para compatibilidade. Assim, ele é executado na VM de 16 bits 1 dentro de 32 bits e exibe a memória como tal. (Ele não existe em janelas de 64 bits, pois a VM de 16 bits não está incluída).
O deslocamento do prompt para mostrar o nome do arquivo curto é uma das inconsistências do cmd.exe
acionado pela execução de um processo WoW filho.
Mas cmd.exe
não está sendo executado em "modo real" porque o modo real não existe para processos de 32 ou 64 bits.
1 O subsistema Windows-on-Windows de 16 bits faz uso de um dos modos de execução de 16 bits dos processadores x86 / x64 para fornecer um ambiente isolado, como VMWare (et al) faz para hospedar um máquina completa.