Ну как я понимаю (IMHO то есть), всеми операциями заведует драйвер (shadow.sys в windows/system32/drivers ) и несколько dll. А сам интерфейс программы (Shadowuser.exe) играет информационную и настроечную роль, то есть если процесс Shadowuser.exe кто-то убьет, на драйвер и включенный ShadowMode это не повлияет. Плюс ко всему если какие-то проблеммы возникнут с драйвером или с записью на винт, то Виндовс грохнется на синий экран. Также блокируется в ShadowMode прямая запись на диск.
А уж драйвер не так то легко выбить, тем более чел даже может и не знать, что машина в ShadowMode работает. Даже защита проги реализована в драйвере, а не в интерфейсе, который сломала крак-группа CSS