Das ist richtig. Ich hatte mich auch gewundert warum das im Hex-Editor nicht zu finden war. Ich habe dann nach den Bytes vorher und nachher gesucht um die richtige Stelle zu finden.
Ich denke dass die nachträgliche Änderung sehr ungewöhnlich ist und kann mich gerade nicht daran erinnern das schonmal woanders gesehen zu haben.
Hast Du den Rest nachvollziehen können? Nicht schlecht! Macht Spaß, oder? :-p