Glosario
Rich header
Un bloque no documentado y enmascarado con XOR que los enlazadores de Microsoft escriben en el stub DOS, con las versiones del compilador y el enlazador usadas.
Entre el stub DOS y la firma PE, el enlazador de Microsoft escribe un bloque que empieza por DanS y termina con Rich seguido de una clave de 32 bits. En medio, enmascarados con esa clave, están los valores comp.id —identificador de producto y número de compilación de cada herramienta que generó objetos— con un recuento para cada uno. La clave es una suma de comprobación de la cabecera DOS y de las entradas (Daniel Pistelli).
Identifica la versión de Visual Studio y ayuda a agrupar muestras; su MD5 es el hash del Rich header. Puede copiarse de otro archivo para confundir la atribución, algo que puede delatar una clave que ya no coincide con la suma de comprobación. Consulte imphash, hash del Rich header y TLSH.