В аттаче две функции одна проверяет данные в заголовке на целостность, вторая подделывает их. Разговор идет о данных перед словом Rich в заголовке PE файлов. 1577210318__RichFuke.rar
нагуглилось https://forum.antichat.ru/threads/150432/ а так, можно архив (дамп форума) Васм поискать, в нем RAR-файл исходный должен быть
mr. Mister, Вы задаёте вопрос спустя почти 9 лет. Какая вероятность ответа, возможно эти люди уже не с нами. По PE формату есть документация от MS, только её и используйте.