I controlli dell'ambiente sono test che il malware esegue per decidere se si trova all'interno di un vero sistema vittima oppure in una sandbox, una macchina virtuale o un ambiente di analisi. Il campione può ispezionare nomi host, nomi utente, processi in esecuzione, impostazioni della lingua, fusi orari, dettagli hardware, strumenti installati o artefatti di virtualizzazione. Se l'ambiente sembra sospetto, il malware può andare in pausa, uscire o nascondere parte del proprio comportamento.
Questi controlli sono importanti perché aiutano gli aggressori a eludere il rilevamento e rendono più difficile l'analisi inversa. Sono comuni in malware a più fasi, loader e implant che vogliono rivelarsi solo su bersagli selezionati. Per i difensori, i controlli dell'ambiente sono indicatori utili di tecniche anti-analisi. I team di sicurezza cercano probe insolite, la lineage dei processi e richieste ripetute al sistema, quindi le confrontano con il comportamento normale degli endpoint. Rilevare questo schema può esporre il malware prima che raggiunga il suo payload completo o la fase di comando e controllo.