Hola!

Puedes usar esto para decodificar: http://www.whitefirdesign.com/tools/deobfuscate-php-hack-code.html

Luego, es sólo cuestión de mirar. Si colocas todo eso con un resaltador de sintaxis (por ej. Notepad++, lenguaje PHP, verás que el código es mas sencillo de lo que parece.)

Por ej., todo eso que pusiste son 3 lineas de código:

1) La asignacion de un string a $_X
2) La asignacion de la función base64_decode a $_D (mira al final)
3) El eval de $_D (base64_decode) sobre otro string (al final del archivo).

Ese string final, generará el código que descifra la primera asignación ($_X).
A partir de ahí, bueno, es muy sencillo... 

Saludos!

Revisa la función replace: http://www.vb6.us/tutorials/vb6-string-functions

Saludos!

http://www.mscs.dal.ca/~selinger/md5collision/

Saludos!

Lo que te puse antes, es muy usado (no preguntes dónde  )

Otra idea (funciona al día de hoy, probado en KAV up2date  ):  click

Saludos!

Si no quieres que lo desinstalen fácilmente, para qué lo colocas en el panel de control en primer lugar??? 

Saludos!

Intenta colocando un bucle desencriptador/delay de unos 3-5 segs.

El tracer/emulador de KAV tiene (a al menos tenia) ese timeout, antes de dejar correr un proggie...

Saludos!

Si usas el buscador del foro y colocas autoclick, veras muchos temas al respecto.

Saludos!

El que tiene el problema de busqueda con analisis es Olly 1.10. Si usas Olly 2 no deberias tenerlo.

De cualquier forma, si en Olly no encuentras los opcodes del comando, es probable que no esten y que findjmp falle.

Recuerda que puedes buscar alternativas a un JMP ESP, como por ej.: PUSH ESP-RET, CALL ESP, MOV R32, ESP-CALL/JMP R32, etc. etc

Saludos!

PD: El EXE no tiene ASLR, no? 

Entiendo. Mi intencion es ayudar. 

Veamos, basicamente una funcion hash se encarga de convertir/mapear una cantidad arbitraria de datos, en una cantidad finita (que tiene fin) de datos, utilizando algun tipo de funciona matematica para tal fin.

En otras palabras, produce una "firma" de la informacion procesada. Lo que pemite identificar dicha informacion de forma rapida, sin tener que compararla completamente.

Hay muchos metodos para hacer este tipo de cosas. Por ejemplo, tienes el metodo del CRC, el cual produce una "firma" de una cierta cantidad de bits (16 y 32 son los mas usados).
Hoy dia, se usa mucho MD5 y SHA1. Fijate que, por ejemplo, los antivirus usan estan ultimas para identificar programas o archivos maliciosos.

Espero haberte ayudado...

Saludos!

Creo que esta es una muy buena definicion: http://es.wikipedia.org/wiki/Hash

Saludos!