Come un malware confezionato esegue il codice decompresso?

Quando eseguiamo un malware imballato, scompatteremo il codice nella memoria heap allocata dinamicamente e l'heap può essere mantenuto non eseguibile e non trovo alcuno scopo per rendere eseguibile l'heap. Quindi, come il malware alla fine esegue il pacchetto binario?