Hola!

Aunque este foro es de Ing. Inversa (hay uno de ASM), te contesto igual:

Para usar ASM comprate cualquiera de los dos. La sintaxis Intel es solo eso: sintaxis.

Saludos!

PD: Si tienes dudas, el subforo de ASM es este: http://foro.elhacker.net/asm-b84.0/

OK, entonces hay 3 opciones:

1) Cerrar el proceso creado/ejecutado desde EL mismo (autoextraible).
2) Cerrar el proceso creado/ejecutado desde el lanzador (autoplay).
3) Cerrar el proceso creado/ejecutado desde un programa "intermedio".

La primera es bastante improbable pues, como has puesto, ejecutas casi cualquier cosa que esta contenida en un autoextraible.
La segunda seria posible si tienes acceso desde autoplay a las APIs de Windows. Te quedas "a la escucha" de las teclas y cierras el proceso al presionar ESC.
La tercera seria similar a la segunda, excepto que haces un programa especifico, el cual lanzarias desde autoplay y que recibiria como parametro el autoextraible a ejecutar. una vez que lo ejecute, se quedaria "a la escucha" de las teclas, hasta que se presione ESC, con lo cual cerraria el proceso creado y a si mismo.

He ahi las opciones que veo...

Saludos!

He seguido el hilo y no creo llegar a entender completamente qué es lo que quieres hacer, Carolina.

Podrias especificarlo mas concretamente?

Saludos!

PD:


 

989898 en decimal en F1ACA (fiaca ) en hexa...

Es el valor "de testeo" usado por Ricardo Narvaja en su introduccion a Olly... 

Saludos!

El char "1" tiene el valor ascii 0x31. Cuando escribes un "1" en memoria, lo que escribe es el valor 31 (en hexa).

La conversion esta implicita...  

Saludos!

EDIT:

Cuando comparas con 38393839, estas comparando con el string "9898" (imagino que conoces el "famoso" valor 989898... no?)

En realidad quiero terminar un script para Olly que tengo pendiente hace rato.

Complementandolo con este archivo, es como tener VBDecompiler en Olly...

Pero bueh, veremos si hago tiempo. 

Saludos!

Recien me acaabo de dar cuenta que pueden colocarse las estructuras internas de VB tambien....

Mmmm, si hago tiempo le agrego algunas cosillas... 

Saludos!

Eso parece sospechoso, ademas de los (file missing) que no deberian estar missing...

Saludos!

Podrias usar un exploit que escale privilegios, y matar el keylogger (o lo que sea)...

Saludos!

No se que VM estas usando, pero puedes especificar que el disco virtual de la VM se guarde en la unidad donde esta debian.

El tema es ver si la VM soporta el sistema de archivos que uses en debian...

Saludos!

PD: No estoy seguro, pero creo que no es posible (y, la verdad, no le veo sentido) que una VM use el disco/particiones del host para el SO guest.
Debes tener en cuenta que el SO guest tendria acceso directo a los files del host, lo cual es inseguro...