Обычно в качестве сигнатуры берется фрагмент кода характерный для этого вируса программа