Se usan VMs porque es altamente improbable que una viruta pueda escapar de la VM. Ha habido casos de vulnerabilidades que permitian dicho escape, pero han sido muy pocas.

Por regla general, si trabajas con malware, usa VMs (VMware de ser posible, aunque VirtualBox tambien anda bien...)

Saludos!

PD: En este caso, Wikipedia es la mejor fuente de informacion para saber como trabaja una VM.