>[оверквотинг удален]
> * собственно сигнатуры (обычно просто строки или регекспы)
> * возможность обфускации скрипта (хотя бы самыми распространёнными методами)
> * некоторые общие сигнатуры (которые говорят "это очень похоже на вредоносный код")
> * ещё что-то, что я забыл
> И к тому же, это должно работать быстро.  Время обработки среднего
> диска в 70 Гб не должно превышать разумных пределов в часа
> три работы.  Поэтому нужно придумывать всякие оптимизации (например, на сканировать
> файлы .jpeg -- но тогда мы оставляем дырку для вредоносных файлов...
> так что этот вариант не подходит, но суть ясна -- сканировать
> вообще всё нереально)

К слову об оптимизации. Надо сканировать только те файлы, которые подвергались изменению с момента прошлого сканирования. =)