Meer detecteren is niet moeilijk, meer detecteren zonder false positives, dat is pas moeilijk. Een van de problemen zal zijn het gebruik in malware van onschuldige libraries en code. Voor code met encoding, encryptie of anderssoortige obfuscatie (bv. polymorf) werkt het misschien niet. Het kan wel zijn dat de methode op zich detecteerbaar is, maar ook daar steekt het fp monster de kop op, je moet dan wel zeker weten dat die methode alleen door malwareschrijvers wordt gebruikt. Met standaard packers weet je dat het niet zo is. Unpacking zorgt voor een andere "look" van de bestanden. Ze lijken vaak niet meer zo goed op het origineel. De methode staat of valt met onophoudelijk voldoende input van bestanden die geen malware zijn. Helaas zit het daar niet zo goed blijkt uit een gepubliceerde paper. Men gebruikte Virustotal om te bepalen of iets malware was. Dat is helemaal niet accuraat en in Virustotal zul je geen representatieve verzameling onschadelijke bestanden aantreffen. Een ander probleem met deze ...