Skip to content

Glossar

Overlay (angehängte Daten)

Daten hinter der letzten Section einer PE-Datei, die der Windows-Loader nicht abbildet: Installer-Payloads, Archive, Konfiguration, Signaturen.

Das Overlay beginnt dort, wo die Rohdaten der letzten Section enden. Windows ignoriert es beim Laden des Programms, daher lassen sich dort bequem Daten anhängen: Installer (NSIS, Inno Setup) und selbstentpackende Archive legen ihre Payload dort ab, Dropper ebenfalls. Auch die Authenticode-Zertifikatstabelle liegt normalerweise im Overlay.

Hohe Entropie, ein erkennbares Format (ZIP, 7-Zip, eine weitere PE-Datei) oder Daten hinter der Zertifikatstabelle verdienen einen genaueren Blick. Daten zwischen den Sections und der Zertifikatstabelle sind von der Signatur abgedeckt, Daten dahinter nicht.