Norman Sandbox detekterer de fleste virus-typer.
Siden den ’sample’ som vi tester for virus-aktivitet afvikles på et simuleret computersystem i et simuleret netværk, kan virus spredes enten lokalt på ’systemet’, eller prøve at inficere andre ’maskiner’. Virus kan også bruge tjenester på ’fjern-computere’, såsom SMTP, NNTP, IRC, DNS o.s.v.