Firma de archivo vs Firma de virus

No hay tal cosa como una firma de virus almacenada en el archivo. Crear la firma de un virus es un proceso que utiliza varias propiedades del archivo malicioso para obtener el valor de la firma. En el caso más sencillo, esto podría ser un hash como MD5 del archivo. Pero también se pueden tener firmas más inteligentes que, por ejemplo, omitir partes del archivo que son irrelevantes para la funcionalidad del virus o incluir información estructurada del encabezado de PE o similar en la firma. La forma en que se computa la firma de un archivo de virus depende de la inteligencia del motor de AV y generalmente es información confidencial.

En cuanto a la firma del archivo: hay varias formas de firmas de archivos, pero en el contexto de AV es probable que esté calculando la firma de un archivo desconocido de la misma manera que la firma de un archivo malicioso y luego verifique si la firma del archivo coincide con cualquiera de las firmas conocidas para archivos maliciosos. Si este es el caso, el archivo desconocido es probablemente también malicioso. Pero la seguridad de esta información depende de cómo se calculó la firma.