Okey, acabo de probar cambiando los saltos y a mi por lo menos me anda, me voy a Final Quiz, termina la cancion y me dice "see your score" y me da el puntaje, pero bueno..
En cuanto a lo del retn en la funcion del timer, tambien si que funciona, lo que podes hacer es un loader que cargue al exe y una vez que llegue a ese call[esp+8] ya tenes esa sección cargada en memoria, asi que le pones el retn en la funcion del trial.
O tambien con oly podes hacer un injerto, ya que al llegar al call[esp+8]
00472604 . 5>PUSH EBX
00472605 . F>CALL DWORD PTR SS:[ESP+8]
00472609 . 5>POP ECX
0047260A . E>JMP Tap_It_D.004726D1
en eax tenemos la direccion a donde va a saltar, podes ensamblar aqui un salto a una zona vacia, por jemplo en 004BB540 y poner aqui tu injerto...
slds