Cette méthode est la plus ancienne et de loin la plus utilisée. L'antivirus dispose d'une base de données d'empreintes (signatures) lui permettant d'identifier et nettoter les éventuels virus présents sur le système. Ce procédé, fiable pour les virus connus est totalement inéfficace face aux espèces inconnues. De plus, il convient de mettre à jour quasi-quotidiennement la base de signature pour optimiser la protection. Enfin, une fonction résidente, fonctionnant dès le lancement de l'ordinateur surveille l'activité. Plus précisément, elle analyse de façon dynamique les fichiers ouverts, ainsi que ceux entrant et sortant de l'ordinateur, que ce soit par disquette, courrier électronique et téléchargement.

Les antivirus heuristiques tentent de détecter les virus -connus comme inconnus- en utilisant les règles générales de reconnaissance de virus. Au contraire des scanners de virus classique, ce type d'antivirus ne s'appuie pas sur des mises à jour fréquentes de tous les virus connus. Cependant, si un nouveau type de virus apparaît, le logiciel ne le reconnaîtra pas et aura par conséquent besoin d'être actualisé ou même remplacé. Les heuristiques sont enclins au déclenchement de fausses alertes.

Ces programmes peuvent vous indiquer si des fichiers ont été modifiés. Si un virus infecte un fichier, programme ou document, en modifiant sa structure, les checksummers sont là pour signaler le changement. Leur avantage est qu'ils n'ont pas besoin de connaître les caractéristiques d'un virus pour détecter sa présence; ils ne requièrent donc pas de mise à jour régulière. Leur inconvénient est qu'ils ne peuvent distinguer un virus de fichier d'une modification normale de fichier et les fausses alertes sont donc possibles. En outre, les checksummers ne vous alertent qu'après que l'infection a eu lieu, ils ne savent pas identifier un virus et ne permettent pas la désinfection.