NeXArmAor Здесь идет проверка файла по косвенным признакам! А именно в какую секцию падает OEP. Entry point обычно идет в первую секцию, секцию кода. Посмотри реализацию в RPCrypt (Маскировать OEP) или аналогичную в FreeCryptor (Не менять OEP).