Glossaire
Overlay (données ajoutées)
Les données stockées dans un fichier PE après la fin de sa dernière section, que le chargeur Windows ne mappe pas : installeurs, archives, signatures.
L'overlay commence là où se terminent les données brutes de la dernière section. Windows l'ignore au chargement du programme : c'est donc un emplacement pratique pour ajouter des données. Les installeurs (NSIS, Inno Setup) et les archives auto-extractibles y placent leur charge utile, et les droppers aussi. La table des certificats Authenticode se trouve elle aussi normalement dans l'overlay.
Une entropie élevée, un format reconnaissable (ZIP, 7-Zip, un autre PE) ou des données situées après la table des certificats méritent un coup d'œil. Les données comprises entre les sections et la table des certificats sont couvertes par la signature ; celles qui la suivent ne le sont pas.