Glossar
Overlay (angehängte Daten)
Daten hinter der letzten Section einer PE-Datei, die der Windows-Loader nicht abbildet: Installer-Payloads, Archive, Konfiguration, Signaturen.
Das Overlay beginnt dort, wo die Rohdaten der letzten Section enden. Windows ignoriert es beim Laden des Programms, daher lassen sich dort bequem Daten anhängen: Installer (NSIS, Inno Setup) und selbstentpackende Archive legen ihre Payload dort ab, Dropper ebenfalls. Auch die Authenticode-Zertifikatstabelle liegt normalerweise im Overlay.
Hohe Entropie, ein erkennbares Format (ZIP, 7-Zip, eine weitere PE-Datei) oder Daten hinter der Zertifikatstabelle verdienen einen genaueren Blick. Daten zwischen den Sections und der Zertifikatstabelle sind von der Signatur abgedeckt, Daten dahinter nicht.