Un controllo della sandbox è un test anti-analisi usato dal malware per rilevare se è in esecuzione all'interno di una macchina virtuale, di un emulatore o di un laboratorio di sicurezza. I campioni possono cercare artefatti comuni come nomi di dispositivi sospetti, risorse di sistema ridotte, assenza di attività dell'utente, strumenti di analisi o pattern temporali che non corrispondono a una normale workstation. Se il test ha esito positivo, il malware può arrestarsi, ritardare l'esecuzione o nascondere il suo comportamento più pericoloso.
Questo è importante perché le sandbox sono una difesa fondamentale per eseguire in sicurezza file sconosciuti e osservare cosa fanno. Quando il malware riesce a riconoscere quell'ambiente, può eludere l'analisi statica e dinamica, riducendo la probabilità di rilevamento da parte di firme o regole comportamentali automatiche. I difensori rispondono usando telemetria a più livelli, impostazioni realistiche della sandbox, ispezione della memoria e monitoraggio della logica anti-VM nel codice. Negli attacchi reali, i controlli della sandbox compaiono spesso insieme a offuscamento e traffico di comando e controllo per rendere i campioni più difficili da studiare e attribuire.