Можно исследовать различия доступных версий и проверить конкретные действия программы: чтение файлов, изменение записей, сетевые обращения или запуск других компонентов. Для этого используют исходные тексты и исполняемые файлы, конфигурацию, журналы и испытания в изолированной среде. Полезны исходный дистрибутив и экземпляр, в котором предположительно появились изменения; одна поздняя копия не всегда позволяет установить прежнее состояние.
Наличие недокументированной функции ещё не доказывает злонамеренности автора, а обращение к внешнему адресу само по себе не подтверждает утечку. Важно определить содержание передаваемых данных и условия выполнения операции. Автоматический сканер даёт сведения для проверки специалистом, но не гарантирует обнаружение всех угроз. Не запускайте подозрительные файлы в рабочей сети ради демонстрации: сначала согласуйте безопасную передачу копий и границы исследования.