Glosario
TLS callback
Función del directorio TLS (almacenamiento local de subprocesos) de un PE a la que Windows llama antes del punto de entrada y al iniciar o terminar cada hilo.
El directorio TLS permite a un programa inicializar datos locales de cada hilo. Su campo AddressOfCallBacks apunta a una lista de funciones terminada en nulo a las que el cargador llama cuando el proceso y cada hilo se inician y se detienen, antes de que se ejecute el punto de entrada.
Algunos runtimes usan los TLS callbacks de forma legítima. El malware y los protectores los usan para ejecutar código antes de que un depurador se detenga en el punto de entrada, con fines antidepuración o de desempaquetado. Su presencia merece un vistazo, pero no es un veredicto; consulte la guía del formato PE.