Un virus polimorfo ben scritto non ha quindi parti che rimangono identiche tra le infezioni, rendendolo molto difficile da rilevare direttamente utilizzando "signature". Il software antivirus può rilevare il virus decriptandoli utilizzando un emulatore, o mediante un modello statistico del corpo del virus crittografato. Per consentire il virus polimorfo, il virus deve avere un motore polimorfo mutante (così chiamato "motore di crittografia" o "motore di crittografia"), che viene decodificato da un modulo di decriptazione. Nel caso dei virus polimorfi, tuttavia, questo modulo di decriptazione viene anche modificato ad ogni infezione. Per esempio, quando un programma antivirus utilizza un codice polimorfo, può essere in grado di rilevare i virus utilizzando un emulatore, o mediante un modello statistico del corpo crittografato. Questo può rendere più difficile per i professionisti di rilevare il virus il fatto che il virus possa essere in grado di rilevare copie del codice polimorfo in modo che possa essere rilevato in modo più
avere un motore polimorfo