Import Address Table (IAT) y llamadas sospechosas

Abre estructura_pe_y_loaders.txt en la consola del laboratorio con el entorno rt-loaders-firmas-guia.

Cuando el cargador de Windows inicia una aplicación, recorre la tabla de importaciones para cargar las librerías dinámicas correspondientes y resolver los punteros de memoria a cada función solicitada antes de transferir el control al punto de entrada.

Revisa el apartado sobre la Import Address Table en estructura_pe_y_loaders.txt.

Los motores heurísticos asignan puntuaciones de riesgo basadas en las funciones listadas en la tabla. Si un binario pequeño declara APIs destinadas a reservar regiones de memoria virtual, escribir en memoria y generar hilos, su puntuación de amenaza se dispara.

Para no dejar rastros de funciones sospechosas en la IAT, los loaders avanzados recurren a técnicas de enlace dinámico tardío (Dynamic API Resolution) o leen directamente la lista de módulos cargados en el Process Environment Block (PEB).

Al resolver los punteros en memoria en tiempo de ejecución mediante hashes de cadenas (API Hashing), la tabla de importaciones del archivo compilado permanece casi vacía o solo contiene funciones inofensivas.