[qwm]

Похоже, форум глюкнул, так как пропало сразу несколько сообщений, включая и сообщение xkor'a.
По поводу твоего вопроса - можно попробовать найти статический адрес указателя на объект через несколько дампов, сравнивая значение с тем, что выловишь в ecx. Правда, решение не наилучшее, но хоть какое-то.
Ещё вариант - сдампить сотню байт сверху от места из которого был вызван твой хук, дизассемблить и поглядеть, откуда заполняется ecx.
Отпиши хоть, я правильно твою задачу понял, или вообще не в ту степь?