Anti-VM si riferisce ai controlli che il malware usa per rilevare macchine virtuali, sandbox o altri ambienti di analisi e poi modificare il comportamento, ritardare l'esecuzione o interrompersi del tutto. Questi controlli possono cercare hardware virtuale, un numero ridotto di risorse, driver comuni delle VM, artefatti di debug, tempistiche insolite o processi noti della sandbox.
È importante perché molti difensori eseguono file sospetti in laboratori isolati prima di consentirne l'ingresso nei sistemi reali. Se il malware riconosce di essere sotto analisi, può nascondere il payload, saltare azioni chiave o consegnare solo un'esca innocua. Negli attacchi reali, la logica anti-VM spesso compare insieme ad altre tecniche di evasione come anti-debugging, manomissione delle API o esecuzione in memoria. Per i difensori, la migliore contromisura è l'analisi a più livelli: sandbox realistiche, ispezione della memoria, telemetria dei processi e monitoraggio della rete che possono ancora rivelare il comportamento anche quando il campione cerca di eludere il rilevamento.