¡Perfecto!
Parece ser bastante viable. A la que vuelva a casa, lo pruebo y reporto La idea es muy buena.

Muchas gracias!

Yep, he editado el mensaje (estoy desde tapatalk y no me salía tu respuesta). Fíjate.

Lo de VirtualProtect lo he pensado y voy a probarlo, pero me da la sensación de que no será demasiado efectivo.
Si no me equivoco, VirtualProtect cambia los permisos de la página entera y no sólo de lo que le indicas (vamos, que pasar 5 o pasar 15 como longitud en bytes acaba cubriendo una página)

No conoces ninguna otra manera de interceptar las modificaciones?
p.ej.
Esa parte no se puede hookear de ningún modo, ya que son puras instrucciones que van directas al CPU...

En un principio me parecía lo mismo de siempre, pero cuando mencionaste criptografía y asm, llamaste mi atención.

Podrías detallar un poco más?

Buenas!

Hace tiempo que me pica la... curiosidad, y me pregunto: hay alguna manera de saber qué partes del código se están modificando por un DLL?

Es decir:
-> Tengo something.exe
-> Abro something.exe, e inyecto (LoadLibrary, o p.ej. LdrLoadDll) plugin.dll

Suponiendo que el plugin, en alguna parte, tiene este código:
Cómo puedo saber la dirección y los bytes que escribe, sin desempacar ni analizar el DLL? (es decir, en runtime)

Me han dicho que haga hook a "Virtual Instruction Bus", pero se necesita un driver para eso, y no es demasiado recomendable tocarlo a la ligera...

Si el inglés no es tu fuerte, te va a ser duro aprender a programar. Muchos recursos importantes están sólo en inglés, o son muy difíciles de encontrar en español.

Claro, pero aún necesitarías que el código que descifra el malware sea metamórfico.

Qué mal suena eso

Java != javascript

Para los que no entienden el "~1":
Dado el hecho de que ~ invierte los bits (es la función inversa o complementaria en matemáticas) así:
~1001 pasa a ser 0110, ~1111 pasa a ser 0000, etc.

Entonces, sabiendo que "1" se representa así en binario:
0000 0000 | 0000 0000 | 0000 0000 | 0000 0001
(he separado los bits para que se lean fácilmente)
Su complemento es:
1111 1111 | 1111 1111 | 1111 1111 | 1111 1110

Entonces, [cualquier número] AND [máscara] es:
1101001010011011001101110001101
AND
1111111111111111111111111111110
----------------------------------------------------
1101001010011011001101110001100

Eliminando así el bit menos significativo, y haciendo que el número sea par.