1) Чтобы не увеличивать вес образа автозапуска сохранять минимум информации.
* Отсутствие данных это уже данные.
То, что содержит белый файл.
Данные по: Cursor; Icon; Dialog
Курсоры - вирусу курсоры ненужны...
Если данного ресурса нет в файле...
Иконки - могут быть.
Диалоги - могут быть. ( общее число символов диалога ? например 400 )
Пример легитимного объекта:
Cursor 100-12
Icon 100-1-2; 101-3-4; 102-5; 205-6-7-8
Таким образом объект ХХХ.exe
Содержит курсоров: _1_
Иконок _8_
В образе в инфо. видим:
----------
Cursor 100-12
Icon 100-1-2; 101-3-4; 102-5; 205-6-7-8
----------
В белом критерии можем настроить.
И + И + И. ( или )
В сочетании со стандартной информацией.
Директория + имя + производитель + Cursor + Icon
Если вдруг у файла отсутствует/изменено один из параметров...