Glossaire
Rich header
Un bloc non documenté, masqué par XOR, que les linkers Microsoft écrivent dans le stub DOS et qui liste les versions du compilateur et du linker utilisées.
Entre le stub DOS et la signature PE, le linker de Microsoft écrit un bloc qui commence par DanS et se termine par Rich suivi d'une clé de 32 bits. Entre les deux, masquées avec cette clé, figurent des valeurs comp.id — identifiant de produit et numéro de build de chaque outil ayant produit des objets — chacune accompagnée d'un compteur. La clé est une somme de contrôle de l'en-tête DOS et des entrées (Daniel Pistelli).
Il permet d'identifier la version de Visual Studio et aide à regrouper les échantillons ; son MD5 constitue l'empreinte du Rich header. Il peut être copié depuis un autre fichier pour tromper l'attribution, ce que peut trahir une clé qui ne correspond plus à la somme de contrôle. Voir imphash, empreinte du Rich header et TLSH.