Die wichtigen Teile der EXE sind in den
RAM gemappt, also kann man das auch im
RAM hashen, anstatt die Datei.
Nur muß man hier erstmal alle Teile finden, da erstens die
PE-Sektionen einzeln geladen werden, die Reallocationstabellen übershrieben werden und auch überall die Sprung-/Speicheradressen werden vom Windows gepatcht, wenn das Image im
RAM verschoben wurde.