Predvsem pa trdi, da se protivirusna podjetja počasi preusmerjajo na preprečevanje okužbe na podlagi opazovanja delovanja programov. Kakorkoli že je virus stisnjen, zašifriran ali mutiran, ob zagonu se vede kot vsak drug program, vendar »z zlimi nameni«. Morda bo poskušal odpreti kakšna omrežna vrata IP, morda se bo poskušal namestiti v sistemski imenik, popraviti ključni del registra ali podobno.