Un virus polimorfo ben scritto non ha quindi parti che rimangono identiche tra le infezioni, rendendolo molto difficile da rilevare direttamente utilizzando "signature". Il software antivirus può rilevare il virus decriptandoli utilizzando un emulatore, o attraverso un modello statistico del corpo del virus crittografato. Per consentire il virus polimorfo, un virus polimorfo deve avere un motore polimorfo mutante da qualche parte (chiamato "motore di virus mutante" o "motore di decriptazione"). Nel caso dei virus polimorfi, tuttavia, questo modulo di decriptazione viene anche modificato ad ogni infezione. Per esempio, quando un programma antivirus utilizza un codice polimorfo, può essere in grado di rilevare i campioni di virus contenenti tali codici e renderlo più difficile da rilevare in modo più lento. Questo rende più probabile che i professionisti possano essere in grado di rilevare i campioni di virus contenenti il codice polimorfo in modo più lento, perché può essere rilevato solo utilizzando il codice polimorfo.
polimorfo