Glosario
Overlay (datos añadidos)
Datos situados tras la última sección de un PE, que el cargador de Windows no proyecta: cargas de instaladores, archivos comprimidos, configuración, firmas.
El overlay empieza donde terminan los datos en disco de la última sección. Windows lo ignora al cargar el programa, así que es un lugar cómodo para añadir datos: los instaladores (NSIS, Inno Setup) y los archivos autoextraíbles guardan ahí su carga útil, y los droppers también. La tabla de certificados de Authenticode también suele estar en el overlay.
Una entropía alta, un formato reconocible (ZIP, 7-Zip, otro PE) o datos tras la tabla de certificados merecen un vistazo. Los datos situados entre las secciones y la tabla de certificados están cubiertos por la firma; los que van detrás, no.