Vamos a ver,
si DE VERDAD es para una clase lo que necesitas es un falso-virus que consiste precisamente en un trozo de código vírico, como ya te han indicado más arriba en este hilo. Necesitas además que sea DETECTADO, en otro caso no demuestras para nada el funcionamiento de un antivirus (que se basa en buscar trozos, cadenas, conocidos de código)
Si pretendes demostrarle más a fondo el funcionamiento puedes cambiar un byte de la cadena para que tu amigo pueda observar como ya no es detectado.
Enseñar cómo todos los antivirus no son igual de eficaces requiere de manera forzosa trabajo por tu parte. Necesitas 2 antivirus con dos versiones de sus tablas de definiciones muy concretas de las cuales tú mismo extraerías una cadena sólo detectable por uno de los antivirus.
Pero basta con que hagas las dos demostraciones anteriores, con el eicar-test por ejemplo, y luego añadas tu comentario explicativo de que no todos los antivirus reconocen las mismas cadenas e incluso los mismos virus, tu amigo te creerá.
Si no entiendes esto es que no estás capacitado para ofrecer tal clase a tu amigo.
Si en realidad lo que quieres hacer es infectar a «tu amigo» la respuesta es sencilla:
no nos da la gana ayudarte y no sigas buscando en este foro porque es contrario a las normas en cuyo caso serías reportado.
Un saludo.