Anatomía de un PE (Portable Executable) visto por el analista

Abre estructura_pe_y_loaders.txt en la consola del laboratorio con el entorno rt-loaders-firmas-guia.

Todo archivo ejecutable en Windows comienza con la cabecera MZ histórica y un puntero hacia la firma PE principal. Los motores de inspección validan que estos campos mantengan la coherencia con los subsistemas declarados.

Revisa las secciones estándar descritas en estructura_pe_y_loaders.txt.

El contenido del binario se segmenta en regiones funcionales con permisos de memoria diferenciados para alojar las instrucciones de máquina, las variables inicializadas y las tablas de importación.

En una aplicación legítima bien compilada, el código ejecutable reside en una sección marcada con permisos de solo lectura y ejecución (RX).

Si un analizador de seguridad encuentra una sección configurada con permisos simultáneos de lectura, escritura y ejecución (RWX), o una sección de código que no tiene permisos de ejecución pero contiene código empaquetado, la cataloga de inmediato como indicador de carga inyectable o automodificable.