Firma del file vs Firma del virus

Non esiste una firma virale memorizzata nel file. La creazione della firma di un virus è un processo che utilizza varie proprietà del file dannoso per ottenere il valore della firma. Nel caso più semplice questo potrebbe essere solo un hash come MD5 del file. Ma si possono anche avere più firme intelligenti che, per esempio, saltano parti del file che sono irrilevanti per la funzionalità del virus o includono informazioni strutturate dell'intestazione PE o simili nella firma. Il modo in cui viene calcolata la firma di un file virus dipende dall'intelligenza del motore AV e di solito è informazioni proprietarie.

Per quanto riguarda la firma del file: ci sono varie forme di firma dei file, ma nel contesto dell'AV si sta probabilmente calcolando la firma di un file sconosciuto allo stesso modo del calcolo della firma di un file dannoso e quindi controllando se la firma del file corrisponde a qualsiasi firma conosciuta per i file dannosi. Se questo è il caso il file sconosciuto è probabilmente anche dannoso. Ma quanto sia certa questa informazione dipende da come è stata calcolata la firma.