Foro de elhacker.net

Hola,
soy nuevo en el análisis de malware y acutalmente estoy analizando un malware llamado Dyre.
Por ahora lo que he llegado a analizar no es más que el loader o dropper y lo que hace es extraer un recurso de la sección de recursos que es el payload para luego ejecutarlo en un nuevo thread de "explorer.exe".
Ahora bien mi duda es la siguiente:
Cuando analizo el dump del payload no empieza por un PE sino que el "MZ" está localizado más adelante (unos 647 bytes para ser exactos).
1-¿Es esto normal? me refiero a que el MZ no esté justo al principio del recurso.
Otra duda que tengo es:
Lo que he hecho para poder analizar el payload ha sido quitar esos 647 bytes anteriores a MZ.
2- ¿He hecho bien en quitar esos bytes del principio para poder analizar el payload en IDA por ejemplo?
Al ver las equivalencias en ASCII de los primeros bytes se pueden ver funciones como GetProcAddress, LoadLibrary y VirtualAlloc.
3- ¿Se puede presuponer que el nuevo thread carga el payload como DLL basado en esos strings ASCII? Es que al no ser un PE como tal no sé muy bien como analizar esos primero bytes.

Perdonad si no me explico bien que todavía estoy empezando y es un mundo nuevo para mí :D