L'evasione di virtualizzazione/sandbox è una categoria di tecniche utilizzata da malware, dropper e altro codice ostile per rilevare quando viene eseguito all'interno di una macchina virtuale, di un emulatore o di una sandbox di sicurezza, e poi cambiare comportamento o rifiutarsi di eseguire. Gli aggressori la usano per evitare di essere studiati dagli analisti e per aggirare i sistemi di rilevamento automatizzati che si basano su ambienti di esecuzione controllati.
Questo è importante perché le sandbox sono una difesa fondamentale per individuare minacce sconosciute prima che raggiungano utenti o host reali. L'evasione può essere semplice, come controllare hardware specifici delle VM, driver o risorse di sistema ridotte, oppure più avanzata, come ritardare l'esecuzione, cercare strumenti di debug o testare il comportamento della rete e del file system. I difensori rispondono con ambienti più realistici, controlli anti-manomissione, monitoraggio a più livelli e correlazione tra host e reti. In pratica, un'evasione riuscita può consentire al malware di nascondere il proprio payload, occultare il traffico di command and control o attendere di raggiungere un sistema reale prima di agire.