Hasło klucz to „klastrowanie statystyczne”. Zwykłe silniki sygnaturowe mają ogromny problem w wyłapywaniu zmodyfikowanych sum kontrolnych w mutacjach wirusów, ale ATD analizuje każdą część złośliwego kodu na kilka sposobów i porównuje ze swoją bazą ponad miliona próbek sklasyfikowanych i opisanych na podstawie wielu zmiennych charakteryzujących ich działanie, zasoby i atrybuty. Analizę ATD wyraża poprzez podobieństwo procentowe. W tej metodzie chodzi o to, że zdecydowana większość wirusów nie jest w stu procentach oryginalna, bowiem często cyberprzestępcy korzystają z wiedzy innych lub kopiują swoją. Ta droga na skróty jednak szybko pada ofiarą silnika ATD. Ponadto silnik uczy się także nieznanych próbek i podobnie je klasyfikuje. Trochę przypomina to „mini-lab” we własnej sieci.