Злоумышленники могут использовать различные системные проверки для обнаружения и обхода средств виртуализации и анализа. Они могут менять поведение исходя из результатов поиска артефактов, свидетельствующих о работе в виртуальной машине или песочнице. В случае детектирования виртуализированной среды злоумышленники могут изменить вредоносное ПО, чтобы прекратить атаку или скрыть основные функции импланта. Они также могут искать артефакты виртуализированной среды перед загрузкой вспомогательных или дополнительных полезных нагрузок. Злоумышленники могут использовать информацию, полученную в результате обхода виртуализации или песочницы в ходе автоматического обнаружения, для определения дальнейшего поведения.

Конкретные проверки зависят от цели и (или) решения злоумышленника и могут включать такие техники, как Инструментарий управления Windows, PowerShell, Изучение системы и Запросы к реестру. Эти приемы используются для получения информации о системе и поиска артефактов виртуализированной среды. Злоумышленники могут искать такие артефакты в памяти, процессах, файловой системе, аппаратных ресурсах и реестре. Злоумышленники могут автоматизировать такие проверки, объединив их один сценарий, который будет завершать работу программы в случае детектирования виртуализированной среды.

Злоумышленники также могут проверять общие свойства системы, такие как имя хоста/домена и образцы сетевого трафика, а также адреса сетевых адаптеров, количество ядер ЦП, объем свободной памяти и размер диска. После запуска вредоносное ПО может также применить технику Изучение файлов и каталогов, чтобы проверить, было ли оно сохранено в папке или файле с нетипичным именем или даже именем, указывающим на работу аналитического процесса, например malware, sample или hash.

Другие распространенные проверки включают в себя поиск запущенных служб, характерных для виртуальных приложений; получение списка установленных в системе программ; поиск полей, содержащих данные о производителе или продукте и указывающих на то, что приложение запущено в виртуализированной среде; а также проверку наличия характерных для виртуализированных сред аппаратных и процессорных инструкций. В таких приложениях, как VMWare, злоумышленники также могут использовать специальный порт ввода-вывода для передачи команд и получения результатов их выполнения.

Злоумышленники также могут проверять конфигурацию и состояние аппаратного обеспечения (например, наличие вентилятора, аудиоустройств и датчика температуры процессора), чтобы определить, является ли среда виртуализированной, а также запрашивать данные с этих устройств.