Glosario
Imphash (hash de importaciones)
Un MD5 de la lista ordenada de importaciones de un PE, presentado por Mandiant en 2014 para agrupar muestras de malware compiladas a partir del mismo código.
El imphash se calcula a partir de la tabla de importaciones: cada importación se convierte en un par dll.function en minúsculas (sin la extensión de la DLL; las funciones importadas por ordinal reciben su nombre de tablas conocidas o se escriben ordN), los pares se unen con comas en el orden del archivo y el resultado se procesa con MD5. La implementación de referencia es get_imphash() de pefile (Mandiant).
Las compilaciones de un mismo proyecto suelen compartir imphash; los archivos empaquetados y los ensamblados .NET comparten el suyo con muchos archivos sin relación. Consulte imphash, hash del Rich header y TLSH.