Glossar
Rich Header
Ein undokumentierter, XOR-maskierter Block, den Microsoft-Linker in den DOS-Stub schreiben und der die verwendeten Compiler- und Linker-Builds auflistet.
Zwischen DOS-Stub und PE-Signatur schreibt der Microsoft-Linker einen Block, der mit DanS beginnt und mit Rich gefolgt von einem 32-Bit-Schlüssel endet. Dazwischen stehen, mit diesem Schlüssel maskiert, comp.id-Werte – Produkt-ID und Build-Nummer jedes Tools, das Objektdateien erzeugt hat – jeweils mit einer Anzahl. Der Schlüssel ist eine Prüfsumme über den DOS-Header und die Einträge (Daniel Pistelli).
Er identifiziert die Visual-Studio-Version und hilft beim Clustern von Samples; sein MD5 ist der Rich-Header-Hash. Er kann aus einer anderen Datei kopiert werden, um die Attribution in die Irre zu führen – was ein Schlüssel verraten kann, der nicht mehr zur Prüfsumme passt. Siehe Imphash, Rich-Header-Hash und TLSH.