יש מסד נתונים ענק, לכל מיני מילות מפתח וקודים ופונקציות שמחשידות וירוס, ברגע שהאנטי וירוס קורא שורה שמראה כנראה על וירוס הוא צועק לך שיש וירוס... זה מה שאני חושב
זה נקרא חתימות של ווירוס, זה יכול להיות תת-מחרוזת בתוך הקובץ או תבנית יותר מורכבת(לעיתים לא רציפה) אבל מסיבות יעילות כמעט תמיד משתמשים בחיפוש תת-מחרוזות המזהות את הווירוס.