>Идеально никак. Можно немного извернуться....
так уж и никак? пишешь фильтр файловой системы, который мониторит чтение файлов. Запускаешь свой закриптованный на диске файл обычным образом (CreateProcess), перед этим нужно сообщить фильтру, какой файл собираешься запускать и, если надо, параметры шифрования (кличик). Фильтр же висит на IRP_MJ_READ и для "правильных процессов" дешифрует прочитанные данные, для остальных — блокирует доступ.