Mira, yo creo que ese mensaje que te da es un falso positivo, los grupos de crackers hacen los exes de sus keymakers/parches muy ofuscados, tratan de impedir que se modifiquen para que no se sepa la forma en que se calcula el serial, ni que le modifiquen el contenido y se lo atribuya otro, cosas así.
Por eso modifican la estructura del PE para engañar a debuggers y editores de recursos, además de comprimirlo/protegerlo para obstaculizar aún más la faena.