Ela observa apenas as conexões de rede ativas do malware.

Ela examina as propriedades, a estrutura e o conteúdo incorporado do arquivo sem executar a amostra.

Ela exclui o arquivo antes de coletar qualquer evidência.

Ela executa a amostra diretamente em um host de produção.