Virus polymorphe

Le code est tout simplement traité comme une donnée et chiffré différemment à chaque génération du virus ; encore faut-il, pour que le virus soit fonctionnel, qu'un code de démarrage soit présent en clair dans un programme infecté par le virus pour exécuter la fonction de déchiffrement, rendre exécutable le code déchiffré (invalider le cache d'instructions, régler les droits d'exécution de la zone mémoire), et enfin appeler du code déchiffré.

Bien évidemment, le code de déchiffrement, qui ne peut pas lui-même être chiffré, peut servir à établir une signature, de même que le code de lancement de la partie déchiffrée, ce d'autant plus que l'ensemble constitue un programme auto-modifiant, ce qui est particulièrement rare de nos jours sur les ordinateurs personnels (les seuls qui soient concernés par les virus) , et donc a peu de risques d'être présent dans un logiciel normal (non-malveillant).

Pour pallier le problème de la fonction de décodage et de démarrage constante, les virus métamorphes utilisent une autre technique pour cacher leur code de chargement : ils réécrivent leur code-machine différemment à chaque génération soit en insérant des instructions inutiles (rembourrage), soit en utilisant différentes instructions ayant le même effet, soit en modifiant plus ou moins profondément leur structure interne par une séquence décompilation/re-compilation.