#Что означает ошибка
Обнаружена угроза в известной программе
Ложное срабатывание — когда антивирус помечает безопасный файл как вредоносный. Чаще всего страдают самописные программы, неподписанные установщики, игровые читы-подобные патчи, упакованные приложения (UPX) и скрипты автоматизации.
Главный вопрос: действительно ли файл безопасен. Не добавляйте в исключения то, происхождение чего не можете проверить.
Проверьте файл независимо и только затем отправляйте его в разбор и исключения.
Иногда антивирус помечает безопасные программы (особенно новые или без подписи) как угрозу. Прежде чем добавлять в исключения, проверьте файл на нескольких сервисах и источник.
#Причины и решения
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Файл без цифровой подписи | Новая программа. | Проверьте источник. |
| Эвристика сработала на упаковщик | Сжатый файл. | Проверьте на VirusTotal. |
| Файл действительно заражён | Источник подозрителен. | Удалите. |
| Устаревшие базы | Антивирус. | Обновите. |
#Пошаговое решение
- Проверьте на VirusTotalСначала убедитесь, что тревога действительно могла быть ложной: проверьте файл антивирусом, изучите его происхождение и цифровую подпись. Если отправляете образец в VirusTotal, помните, что загруженные файлы могут стать доступны исследователям и партнёрам сервиса: конфиденциальные документы, частные сборки и файлы с секретами туда отправлять нельзя. Для известных установщиков безопаснее сравнить SHA-256 с официально опубликованным разработчиком значением.
- Проверьте подпись и источникСкачайте файл заново только с официального сайта разработчика и проверьте подпись: в Windows щёлкните правой кнопкой → «Свойства» → «Цифровые подписи», если вкладка есть. Сопоставьте издателя и действительность подписи. Отсутствие подписи не доказывает вредоносность, но требует осторожности. Если есть сомнения, не запускайте файл и обратитесь к разработчику.
- Достаньте файл из карантинаНе восстанавливайте файл из карантина автоматически. В Windows откройте «Безопасность Windows» → «Защита от вирусов и угроз» → «Журнал защиты», найдите событие, проверьте путь и имя угрозы. Если обнаружена серьёзная угроза или источник сомнителен, оставьте файл в карантине. Восстановление допустимо только после независимой проверки и понимания последствий; при рабочем ПК согласуйте с администратором.
- Добавьте исключениеИсключение из антивирусной проверки создаёт длительный риск и не является штатным способом устранения «ложного» срабатывания. Предпочтительно обратиться к поставщику защитного ПО для пересмотра классификации. Если в управляемой организации исключение всё же требуется, его должен утверждать администратор для минимально необходимого файла на ограниченный срок, а не для целой папки загрузок.
- Отправьте файл вендоруНайдите на официальном сайте антивируса форму «Сообщить о ложном срабатывании» или «Отправить образец», укажите название программы, версию, издателя, контрольную сумму и точный текст обнаружения. Если файл конфиденциален, уточните условия передачи либо отправьте только метаданные. Дождитесь решения, обновите базы антивируса и проверьте обнаружение повторно.
#Если не помогло
Не добавляйте файл в исключения, если не уверены в его безопасности: ложные срабатывания случаются, но чаще угроза настоящая.
#Проверка файла
Загрузите файл на : если плохим его считают один-два антивируса из 70, а остальные молчат, вероятен ложный случай. Сверьте хэш с сайтом разработчика: certutil -hashfile файл.exe SHA256. Проверьте цифровую подпись: ПКМ → «Свойства» → «Цифровые подписи». Скачивайте файлы только с официальных сайтов, а не с зеркал.
#Отправка на пересмотр
Каждый вендор принимает ложные срабатывания: Microsoft — , Kaspersky — , ESET и Avast имеют формы на своих сайтах. Приложите файл и описание. Разработчикам помогает цифровая подпись кода и сборка без упаковщика.
#Исключения и восстановление
Достаньте файл из карантина (Defender: «Защита от вирусов → Журнал защиты → Действия → Восстановить» или MpCmdRun.exe -Restore -ListAll). Не добавляйте исключение без согласования с ответственным за безопасность: Add-MpPreference -ExclusionPath "C:\Tools\app.exe". Если антивирус удалил библиотеку из игры или программы, восстановите её из карантина и проверьте целостность файлов.