Skip to content

A–Z

Glosario

Definiciones claras de los términos del formato PE y del análisis estático usados en el blog.

Entropía (entropía de Shannon)
Una medida, en bits por byte de 0 a 8, de lo aleatorios que parecen unos datos; los valores cercanos a 8 indican contenido comprimido o cifrado.
Overlay (datos añadidos)
Datos situados tras la última sección de un PE, que el cargador de Windows no proyecta: cargas de instaladores, archivos comprimidos, configuración, firmas.
Ruta PDB
La ruta del archivo de símbolos de depuración del registro CodeView de un PE, que suele revelar las carpetas y el usuario de la máquina de compilación.
TLS callback
Función del directorio TLS (almacenamiento local de subprocesos) de un PE a la que Windows llama antes del punto de entrada y al iniciar o terminar cada hilo.
Authenticode
El formato de firma de código de Microsoft para archivos PE: una firma PKCS #7 sobre un hash del archivo, guardada en la tabla de certificados.
Imphash (hash de importaciones)
Un MD5 de la lista ordenada de importaciones de un PE, presentado por Mandiant en 2014 para agrupar muestras de malware compiladas a partir del mismo código.
Rich header
Un bloque no documentado y enmascarado con XOR que los enlazadores de Microsoft escriben en el stub DOS, con las versiones del compilador y el enlazador usadas.
Tabla de importaciones e IAT
Las estructuras PE que enumeran las funciones de DLL que necesita un programa; el cargador las resuelve y escribe sus direcciones en la IAT.
Cabecera MZ (cabecera MS-DOS)
La cabecera de 64 bytes al inicio de todo archivo PE, que empieza por las letras MZ y cuyo campo e_lfanew apunta a la cabecera PE.
Cabecera opcional (optional header)
La cabecera PE que indica al cargador cómo proyectar e iniciar la imagen: PE32 o PE32+, punto de entrada, base, subsistema, checksum y directorios de datos.
Formato PE (Portable Executable)
El formato de los ejecutables, DLL, drivers y binarios EFI de Windows: cabecera MS-DOS, firma PE, cabeceras COFF y opcional, y tabla de secciones.
Tabla de secciones
La lista de secciones de un archivo PE —nombre, dirección y tamaño virtuales, desplazamiento y tamaño en disco, y permisos— usada para proyectarlo en memoria.