Можете объяснить как работает проверка подписи apk?

Я не совсем понимаю, как работает проверка апк приложения на его подлинность, так что волнующий меня вопрос, если после подписи приложения в нем создается файл с контрольными суммами файлов, по которым потом идет проверка в том числе, то что мешает в подлинном апк подменить картинку, а потом во все места, где требуется внести изменения, соответствующие данной картинке, в итоге получив модифицированный рабочий апк без измененной подписи?