Akkor aktiválódik, amikor a gazdát megnyitják, betöltik vagy végrehajtják. Ez a gazdafüggőség különíti el a vírust az önálló féregtől.
Az aktiválás után a vírus más alkalmas gazdákat kereshet és módosíthat. A fertőzött objektumok megosztott tárolón, mellékleteken, letöltéseken, szinkronizáláson vagy cserélhető adathordozókon mozoghatnak, de a gazdát rendszerint egy másik művelet továbbítja vagy futtatja. A sokszorosítás elkülönül a hasznos terhtől (payload), mint az adatlopás, a károsítás vagy további kártevő telepítése.
Legfontosabb pontok
GazdakapcsolatA fertőzött objektum hordozza vagy aktiválja a víruskódot. A gazdák és a fertőzési módok platformonként eltérnek, ezért a „fájlvírus" nem ír le minden vírust.
Kiterjedés felméréseAzonosítani kell az eredeti végrehajtást, a potenciálisan fertőzött gazdákat, a terjesztési útvonalakat, a jogosultságokat és a payloadot. Csak az első észlelt fájl vizsgálata elkerülheti a máshol módosított objektumokat.
HelyreállításAz érintett objektumokat tesztelt eljárásokkal karanténozni vagy cserélni kell, le kell zárni a bejutási útvonalat, és validálni kell a rendszereket és a közös tárolókat. Szükség esetén meg kell őrizni a reprezentatív bizonyítékokat.
Fontos korlátEgy aláírás (signature) azonosíthat egy ismert mintát anélkül, hogy minden fertőzött objektumot vagy műveletet megtalálna. Egy gyanús fájl sem vírus, ha a gazdafüggő sokszorosítás nem része a viselkedésének.