Simplemente lo que detectaran es la sección nueva y buscaran el stub, eso para saber con que esta cifrado, luego solo tienen que ejecutar el code del stub sobre el programa y volvería a quedar como antes de desencriptarlo.
Es mas sencillo de lo que parece.

No entendi.