CMP BYTE PTR [004628D4],00              <--Comprueba la 1ª vez que el programa es ejecutado  
    JZ 0045B7D9                                       <--Salta la 1ª vez ejecutada   
    CMP DWORD PTR [004628D8],1A        <--Comprueba las veces ejecutadas (1A = 26dec)   
    JGE 0045B72A                                     <--Salta si eres un chico malo
 

En este esquema debes ver fácilmente nuestros 2 flags importantes, 004628D4 decide si esta es la primera ejecución del programa, donde el número de veces que el programa se ha ejecutado se marcará como 004628D8.

Nota que el programa compara el número de veces ejecutadas con 26 en decimal, un truco menor para engañar nuestra búsqueda HEX.
Debes poder ver muchas maneras de anular este esquema, podrías conformarte, por ejemplo, con aumentar 1A (26) digamos a FF (255), esto es un cambio bastante débil pero puede ayudarte totalmente a evaluar el programa, o puedes "NOPear" el JGE 0045B72A, eso anularía el control de 26 veces de ejecución completamente, o quizá podrías forzar el JZ 0045B7D9 a un JMP.




¡Haz el parche que mejor te sirva!





La mayoría de los esquemas de limite de 'runtime' son similares en funcionamiento a este y son contadores de situación normalmente bastante débiles
(aunque a veces los programas pueden incrementar un contador escondido dentro del archivo del programa o en una DLL), debes prestar particular atención a direcciones que se usan como flags y a como éstas puede ser potencialmente malévolas y debes de estar muy seguro de verificar que eso no sea una dirección espejo que verifica el mismo flag.