No contexto do software antivírus e antispyware, uma "assinatura" refere-se a uma peça de identificação exclusiva, normalmente uma sequência de bytes específica ou um valor de hash (como MD5, SHA-1, SHA-256), característico de um programa malicioso conhecido (vírus, verme, trrojan, spyware, etc.). Essas assinaturas são essencialmente "impressões digitais" usadas para detectar malware.

O software antivírus funciona comparando arquivos e processos em um computador com um banco de dados atualizado constantemente dessas assinaturas. Se uma correspondência for encontrada, o software poderá identificar com confiança o arquivo ou o processo como malicioso e agir (por exemplo, quarentena, excluir, executar bloquear).

Existem diferentes tipos de assinaturas:

* assinaturas de arquivo: São assinaturas derivadas do conteúdo do próprio arquivo malicioso. Eles podem direcionar partes específicas do código, strings dentro do código ou mesmo a estrutura geral do arquivo.

* assinaturas comportamentais: Estas são menos diretas e detectadas atividades maliciosas * * em vez de conteúdo específico de arquivo. Eles procuram ações suspeitas, como tentativas de modificar arquivos do sistema, conexões de rede para servidores conhecidos de comando e controle ou padrões incomuns de acesso à memória. Eles são cruciais para detectar malware polimórfico (que altera seu código para evitar a detecção baseada em assinatura).

* assinaturas heurísticas (ou heurísticas): Essas são regras ou padrões que descrevem características de malware, em vez de sequências de bytes específicas. Eles são usados ​​para detectar malware novo ou desconhecido que ainda não possui uma assinatura específica. Eles geralmente são menos confiáveis, mas fornecem um grau de proteção contra ataques de dia zero.

A eficácia da detecção baseada em assinatura depende da qualidade e quantidade de assinaturas no banco de dados antivírus. Embora eficazes contra malware conhecido, a detecção baseada em assinatura luta contra explorações de dias zero e malware polimórfico/metamórfico que alteram constantemente seu código para evitar a detecção. O software antivírus moderno geralmente combina detecção baseada em assinatura com análise heurística, monitoramento comportamental e outras técnicas para uma proteção mais robusta.