آنتی ویروس یه دیتابیسی داره که همیشه داره آپدیت میکنه
برای تطابق فایل ها با یه ویروس داخل دیتابیس سه جوره تکنیک استفاده میشه

یکیش اینه که Hash از فایل درمیاره اونو مقایسه میکنه
دومیش اینه که میاد به الگوی بایت های static نرم افزار و offset range و یه تعداد string نگاه میکنه
سومیش هم استفاده از الگوهای انعطاف پذیر و wildcard در امضای آنتی ویروسه یعنی آنتی ویروس به جای گشتن دنبال یک بایت ثابت، به بخش هایی از بایت ها یا متغیرهای جابجا شده آزادی میده تا حتی اگه جای چند دستور تغییر کرده بود، باز هم ساختار کلی کد مخرب رو پیدا کنه.

اینا مال وقتیه که قبلا فایل تو دیتابیسش هست