Naja, liegt daran das sich viele kleine Programme im Ursprungszustand leicht recompiln lassen (natürlich nicht in Klartext Quellcode, aber es können Methoden und Co. erkennbar werden).
Wenn man sie jetzt cryptet wird das erschwert.
Allerdings erkennen bei virustotal sogar 7 Scanner einfache UPX gepackte .exe als false positive/verdächtig. und UPX ist halt "nur" nen Packer für .exe Datein.
Siehe dazu auch
http://de.wikipedia.org/wiki/UPX#Nachteile