Kaynak kodu açık programlarda tüm kaynak kodu inceleyerek fikir edinebiliyoruz ama kaynak kodu kapalı ise durum zor. Maalesef GitHub'da kaynak kodunu görüyor olsak bile tamamen incelemeden bir şey demek zor. Şu devirde çoğu zararlı program zaten VM veya sandbox ortamında direkt çalışmayı reddediyor. Bunu avantajınıza kullanıp programı analiz edebilir veya şansa bırakabilirsiniz.
Çoğu zararlı program zaten artık kodunu "obfuscate" veya "karıştırma" yolu ile bilgisayara bulaştırıyor. Eğer bu zararlının "imzaları" (daha önceden AV tarafından tespiti, parmak izi) veritabanında yok ise zaten ne VirusTotal ne de AV programınız tepki vermeyecektir.
Korkutmak için yazmadım ama maalesef şu sıralar durumlar böyle.
En kötüsü, sandbox uygulamarı ile çalıştırıp yazılımın hangi dosyalara erişip ne yaptığına bakmak.