Нет просто файл который распространяемый чекает скачивался ли этот файл на комп или нет, если да то не качает снова, тоесть первый раз запускается вирус, а потом можно сколько угодно запускать и будет склеенный файл только дропаться и запускатьсяСмотря какой юзер) Всё твоё добро дропается и загружается в какой-нибудь %temp и отследить это не так уж и сложно. И не все юзают для анализа виртуалки к примеру.
Так у тебя мильён прямых ссылок на разные sfx архивы что ли?