A–Z
Glosario
Definiciones claras de los términos del formato PE y del análisis estático usados en el blog.
- Entropía (entropía de Shannon)
- Una medida, en bits por byte de 0 a 8, de lo aleatorios que parecen unos datos; los valores cercanos a 8 indican contenido comprimido o cifrado.
- Overlay (datos añadidos)
- Datos situados tras la última sección de un PE, que el cargador de Windows no proyecta: cargas de instaladores, archivos comprimidos, configuración, firmas.
- Ruta PDB
- La ruta del archivo de símbolos de depuración del registro CodeView de un PE, que suele revelar las carpetas y el usuario de la máquina de compilación.
- TLS callback
- Función del directorio TLS (almacenamiento local de subprocesos) de un PE a la que Windows llama antes del punto de entrada y al iniciar o terminar cada hilo.
- Authenticode
- El formato de firma de código de Microsoft para archivos PE: una firma PKCS #7 sobre un hash del archivo, guardada en la tabla de certificados.
- Imphash (hash de importaciones)
- Un MD5 de la lista ordenada de importaciones de un PE, presentado por Mandiant en 2014 para agrupar muestras de malware compiladas a partir del mismo código.
- Rich header
- Un bloque no documentado y enmascarado con XOR que los enlazadores de Microsoft escriben en el stub DOS, con las versiones del compilador y el enlazador usadas.
- Tabla de importaciones e IAT
- Las estructuras PE que enumeran las funciones de DLL que necesita un programa; el cargador las resuelve y escribe sus direcciones en la IAT.
- Cabecera MZ (cabecera MS-DOS)
- La cabecera de 64 bytes al inicio de todo archivo PE, que empieza por las letras MZ y cuyo campo e_lfanew apunta a la cabecera PE.
- Cabecera opcional (optional header)
- La cabecera PE que indica al cargador cómo proyectar e iniciar la imagen: PE32 o PE32+, punto de entrada, base, subsistema, checksum y directorios de datos.
- Formato PE (Portable Executable)
- El formato de los ejecutables, DLL, drivers y binarios EFI de Windows: cabecera MS-DOS, firma PE, cabeceras COFF y opcional, y tabla de secciones.
- Tabla de secciones
- La lista de secciones de un archivo PE —nombre, dirección y tamaño virtuales, desplazamiento y tamaño en disco, y permisos— usada para proyectarlo en memoria.