разные АВ детектят по разному. Но стоит сказать о том, что АВ сейчас делятся друг с другом базами детектов, поэтому это разное с течением времени приходит к +- одному знаменателю. АВ на движке от битдефендера любят детектить код, в котором много goto инструкций, а так же совокупность использования определенного набора винапишных(если говорить о винде) функций. Авира детектит немного по другому, Аваст и виндефендер вообще детектят абсолютно безобидный код и пропускают то, что явно может делать опасные штуки. Есет любит бахать подписи, после этого любой код на этой подписи будет гореть, а через некоторое время похожий код будет палить любые подписи. И тд. Стоит отметить, что все эти конторы по большей части зарабатывают деньги и это бизнес. Поэтому всегда есть опция при наличии денег написать весьма опасный код, заплатить денег и попасть в вайт лист основных разработчиков движков АВ. И наоборот есть опция, написать полезный софт, который не будет делать ничего опасного, но будет работать на низком уровне и он будет гореть везде где только можно, просто потому что где деньги, лебовски.