I controlli anti-sandbox sono test dell'ambiente che il malware usa per rilevare se è in esecuzione all'interno di una sandbox di sicurezza, di una macchina virtuale o di uno strumento di analisi automatizzata. Il codice può esaminare il numero di CPU, la quantità di memoria, l'attività dell'utente, i modelli del nome host, i nomi dei processi, l'appartenenza a un dominio, i ritardi temporali, le chiavi di registro o altri segnali che indicano che l'ambiente non è un endpoint normale.
Questo è importante perché le sandbox sono una difesa comune per individuare in modo sicuro i comportamenti dannosi. Se il malware rileva condizioni di analisi, può terminare, andare in sleep o nascondere il proprio payload reale, riducendo la probabilità che i difensori vedano il suo comportamento completo. Negli attacchi reali, la logica anti-sandbox compare spesso nella prima fase di un loader, prima che i payload successivi vengano decifrati, scaricati o eseguiti in memoria. I difensori individuano questi controlli analizzando i percorsi di codice, monitorando le query insolite all'ambiente e correlando tali attività con il comportamento dei processi, l'allocazione di memoria e l'attività di rete. Quando un campione rifiuta di essere eseguito in laboratorio ma si comporta in modo diverso su un host reale, l'elusione anti-sandbox è una probabile spiegazione.