ps. После выделения памяти и присваивания переменной _list.aa указателя на эту память должна быть секция с присваиванием адресов функций элементам выделенного массива (Ну или не должна - malloc не заполняет выделенный блок нулями - в этом случае вызовы будут передаваться по случайным адресам со всеми вытекающими последствиями типа access violation и прочим - уж как повезет).
Не совсем, call будет по адресу, который вернул malloc. Следовательно начнется выполнятся некоторый набор инструкций, которые можно прописать ручками. Плюс атрибуты страницы надо настроить. Или поле потом переприсваивается, или еще что...