Un controllo della lingua di sistema è un comportamento del malware che legge la locale del dispositivo della vittima, la tastiera o la lingua dell'interfaccia utente prima di proseguire. Se la lingua non corrisponde alla regione target dell'attaccante, il malware può uscire, andare in sospensione o passare a una modalità limitata. Si tratta di una tecnica comune di anti-analisi e di targeting nei trojan bancari e in altri tipi di fraudware.
È importante perché i controlli della lingua aiutano i criminali a concentrare le infezioni sulle vittime preferite e a ridurre il rumore proveniente da sandbox, ricercatori o endpoint esteri. Negli attacchi reali, il controllo può essere usato insieme ad altri filtri, come fuso orario, paese o lingua del browser, per decidere se distribuire un payload o mostrare una finta pagina di accesso. I difensori possono individuarlo nella telemetria monitorando le query sulla locale, ramificazioni insolite dei processi e il comportamento del payload specifico per area geografica. Se combinato con phishing localizzato, può rendere le campagne malevole più difficili da rilevare e più facili da considerare affidabili.