Antivirové i antimalware soft fungují na základě analýzy programu (když pominu databázi se vzorky kódu nebo konkrétními soubory nebo klíči v registru, které hledá).
Pokud se nějaký program chová podle něj nepřístojně - něco odchytává (třeba schránku nebo klávesy), registruje se do nějakého řetězce předávání zpráv, mění, co by normální program měnit neměl, tak jej označí.
Antiviry to dotáhly tak daleko, že paranoidně označují raději vše než aby něco neoznačily. Z toho jsou pak problémy, protože antivir hodí do karantény systémové knihovny, blokuje na pozadí přístup k internetu. V podstatě antivir (hlavně ty komplexní balíky typu internet security) v současné době dělá víc škody než užitku.