Im Prinzip hast Du recht: signtool.exe würde da stolpern.
Aber: das habe ich schon berücksichtigt
Ich gehe mit ImageEnumerateCertificates durch und führe ImageRemoveCertificate aus.
Meine Frage drei war zu simpel - mit BeginUpdateResource/UpdateResource/EndUpdateResource kommt auch nichts besseres bei raus.