[Alegun]

Вот что получилось, сборка для тренировок - чисто парсинг, ловит характерные для шелла процедуры и вызовы, можно ещё туда анализ прикрутить: если каких-то вызовов больше порога, то файл этот возможно инфект детектед