Я так понимаю его двиг более заточен под определение морфированых копий вирусни.
Сам двиг думаю не сильно отличается от пандовского авера. Просто этот отсылает в сеть копии подозрительных файлов использую HIPS а далее идет локализация заразы, Вычисление центров управления. Удобная херь для них. Головная боль для взрослых ботоводов. Но обойти его думаю труда не составит.