La resistenza all'analisi si riferisce a tecniche del malware che rendono il reverse engineering, il test in sandbox e l'ispezione automatizzata più lenti o meno affidabili. Esempi comuni includono controlli anti-debugging, rilevamento dell'ambiente, packing del codice, esecuzione ritardata, offuscamento e comportamenti che si attivano solo su una vera macchina vittima.
Nella sicurezza informatica, la resistenza all'analisi è importante perché i difensori spesso si affidano alla detonazione nelle sandbox e a una rapida analisi preliminare per comprendere un campione. Se il malware riesce a capire di essere sottoposto ad analisi, può nascondere il proprio payload, smettere di eseguirsi o presentare un comportamento fuorviante. Questo crea attrito operativo e può ritardare il rilevamento, le attività di hunting e la creazione delle signature.
Nelle attacchi reali, gli analisti possono osservare file insolitamente compressi o packed, stringhe nascoste in forma codificata, oppure malware che si rifiuta di eseguirsi in macchine virtuali. I difensori contrastano tutto ciò con analisi multilivello, ispezione della memoria, sandbox strumentate, rilevamento comportamentale e correlazione tra i dati di telemetria, così che un campione non possa fare affidamento su un solo trucco di evasione.