Hola,
Bueno. En realidad no es así, al menos no en todos los Antivirus. Pongo otra vez como ejemplo el proyecto que me traigo entre manos y antes mencioné. Este proyecto usa unos componentes cuyo nombre coincide con un troyano. El antivirus no se queja, si el proyecto no se comprime con UPX.
Es decir, que se han de dar las dos circunstancias: se usan los componentes "Abbrevia" y se comprime con UPX. Pero si no se usan los componentes mencionados, aunque se comprima con UPX, el antivirus no se queja tampoco. Vamos que podría decirse que UPX por sí solo no hace saltar las alarmas.
Lo que sí podrías decir a tu amigo es que nos explique qué es eso de "meter un algoritmo y codear" un programa...