Se debe que al quitar codigo los opcodes se reorganizan y dá la casualidad de que tal como queda es detectado. No pienses que al quitar codigo dejas huecos en memória  .

Modificar/Reemplazar el CSM?

  ¿No has probado CSocketPluss?  De todas maneras CSocketMaster no es multihilos 

 Lo de la heuristica debe ser que al suprimir code se vuelve mas evidente las acciones del server y por lo tanto es detectado una cosa es

Iniciarsocket()-> conectarce()->subirkeystrokes()->subirpassmsn().

y otra muy distinta es:
Iniciarsocket->rascarcelaespalda()->conectarce()->perdereltiempo()->subirkeystroke()->mandarunpingalanasa()->subirpassmsn()