Есть апплет, подписанный SHA1. Это не дает заменить код апплета на свой. Как быть?

Смотря что тебе нужно от апплета.

Если в последствии выложить апплет в веб для загрузки пользователем, то без взлома сертификата не обойтись.

Если же ты хочешь запустить апплет у себя на компьютере, то проще прописать правила java policy, разрешающие java выполнять запрещенные функции.