Glossar
TLS-Callback
Eine Funktion im Thread-Local-Storage-Verzeichnis einer PE-Datei, die Windows vor dem Entry Point sowie beim Start und Ende von Threads aufruft.
Über das TLS-Verzeichnis kann ein Programm thread-lokale Daten initialisieren. Sein Feld AddressOfCallBacks zeigt auf eine nullterminierte Liste von Funktionen, die der Loader aufruft, wenn der Prozess und jeder Thread starten und enden – und zwar vor dem Entry Point.
Manche Laufzeitumgebungen nutzen TLS-Callbacks ganz legitim. Malware und Protector setzen sie ein, um Code auszuführen, bevor ein Debugger am Entry Point anhält – zur Anti-Debugging-Abwehr oder zum Entpacken. Ihr Vorhandensein ist ein Grund für einen genaueren Blick, kein Urteil; siehe den Leitfaden zum PE-Format.