Un controllo anti-analisi è codice che cerca di rilevare se il malware viene osservato o studiato prima di eseguire il proprio payload completo. I controlli comuni cercano debugger, macchine virtuali, emulatori, artefatti di sandbox o segni di strumentazione come processi insoliti, file o ritardi temporali.
Questo è importante perché i team di sicurezza spesso fanno detonare i file sospetti in ambienti controllati per osservarne il comportamento. Se il campione si accorge di essere analizzato, può terminare, andare in sospensione o mostrare solo un comportamento innocuo, rendendo più difficile il rilevamento. Negli attacchi reali, questi controlli vengono spesso combinati con crittografia, esecuzione ritardata ed evasione di API o syscall per ridurre la visibilità. I difensori cercano il controllo stesso: query sui debugger, fingerprinting delle VM, logica anti-sandbox e cicli temporali sospetti sono indicatori comportamentali utili anche quando il payload finale non compare mai completamente.