EXE — fichier .exe

Le format EXE (Portable Executable, ou PE) est le format natif des programmes exécutables sous Microsoft Windows, utilisé depuis Windows NT et Windows 95. Contrairement aux formats vus jusqu’ici, un EXE n’est pas destiné à être “ouvert” par un logiciel tiers : le système d’exploitation le charge et en exécute directement le code.

Sa signature “MZ” (les initiales de Mark Zbikowski, l’un des concepteurs du format DOS exécutable historique) marque l’en-tête DOS de compatibilité ascendante que tout PE conserve. L’en-tête PE proprement dit, signé “PE\0\0”, se trouve plus loin dans le fichier, à un offset lui-même indiqué par un champ situé à l’octet 0x3C de l’en-tête DOS — une indirection héritée de décennies de compatibilité ascendante.

Cette même signature “MZ” est strictement partagée avec les fichiers DLL (bibliothèques partagées) : les deux formats sont structurellement identiques en tête de fichier, seul un indicateur interne à l’en-tête PE (le bit IMAGE_FILE_DLL) permet de distinguer un exécutable autonome d’une bibliothèque destinée à être chargée par un autre programme.

La quasi-totalité des exécutables Windows actuels sont signés numériquement par leur éditeur, une vérification que Windows SmartScreen consulte pour avertir l’utilisateur avant l’exécution d’un programme provenant d’un éditeur inconnu ou dont la signature est absente ou invalide.

Des compresseurs d’exécutables comme UPX réduisent la taille d’un EXE en compressant son code, un usage légitime pour alléger la distribution d’un logiciel ; ce même mécanisme est malheureusement aussi détourné par des logiciels malveillants pour dissimuler leur code aux antivirus qui s’appuient sur des signatures statiques, ce qui a conduit de nombreux outils de sécurité à traiter un exécutable compressé comme intrinsèquement plus suspect.