Quasi tutti gli Anti - Virus possiedono la capacità oppure hanno un utilitie extra che resta residente in memoria e controlla attentamente tutte le mosse di un file quando viene eseguito.Se, per esempio, un file infettato viene eseguito ed il virus cerca di scrivere direttamente tramite l'interrupt 13h sul disco, l'Anti - Virus farà scattare l'allarme e bloccherà immediatamente l'esecuzione di tale file.Spesso appare un menu dove scegliere se continuare con l'esecuzione o meno.In grosso modo si può dire che il virus cercherà proprio di evitare che succeda questo.Di solito il virus controlla solamente gli interrupts che "gli interessano", scoprendo se c'e' qualche Anti - Virus in memoria.Esiste però anche un'altra tecnica, si chiama "token tunneling".In questo caso il virus esaminerà proprio tutta la memoria cercando un modo per ingannare l'Anti - Virus residente.Qua entriamo in un altro settore di programmazione, cioè il TSR (terminate and stay resident o qualcosa di simile).Un virus, senza la possibilità di espandersi attraverso la memoria, può risultare abbastanza limitato.Ci sono molti virus che agiscono senza restare residenti in memoria, anche perchè programmare un virus che usa il sistema TSR è più complicato, ci vuole più tempo...ma come già saprete, con l'assembly nulla, o praticamente quasi nulla, è impossibile.