Скачали программу с сайта разработчика, а Защитник Windows её удалил. Проверили на VirusTotal: 3 движка из 70 пишут что-то вроде Trojan.Generic и Heur.Malware, остальные молчат. Так это вирус или антивирусы перестраховываются?

Ответ зависит не от числа, а от того, кто именно сработал, как назвал угрозу и откуда файл.

Почему антивирусы ошибаются

Антивирус ищет не только известные вирусы по точному совпадению, но и подозрительные признаки: сжатый код, необычную структуру программы, вызовы системных функций, которые любят вредоносы. Такая эвристика ловит новые угрозы, но иногда срабатывает на честные программы.

Чаще всего под раздачу попадают:

  • маленькие утилиты от независимых разработчиков без цифровой подписи;
  • программы, сжатые упаковщиками вроде UPX, или защищённые от взлома;
  • скрипты AutoHotkey, Python и другие, собранные в EXE;
  • инструменты администрирования: удалённый доступ, мониторинг, утилиты для паролей. Они законны, но умеют то же, что и вредоносы.

Сама служба VirusTotal прямо говорит, что не может убрать или изменить вердикт стороннего антивируса. Если вы разработчик и уверены, что вердикт ложный, писать нужно производителю антивируса, приложив ссылку на отчёт VirusTotal.

Как читать отчёт VirusTotal

Сколько и кто

Несколько срабатываний из семидесяти ещё не приговор, а ноль ещё не гарантия. Смотрите на состав:

  • Срабатывают крупные известные антивирусы, которыми пользуются миллионы людей, и их несколько. Это серьёзный сигнал.
  • Срабатывают 1-3 малоизвестных движка, а крупные молчат. Похоже на ложное срабатывание, особенно для новой программы.

Как названа угроза

Сравните названия у разных движков:

  • Generic, Heur, ML, Suspicious, Malicious (high confidence) означают «что-то похожее на вредонос», без конкретики. Такие вердикты чаще оказываются ложными.
  • Если несколько разных антивирусов называют одно и то же семейство, например Mamont, AgentTesla, Lumma, это уже не совпадение. Файл почти наверняка вредоносный.

Как давно проверяли

Вердикты меняются. Исследование, представленное на конференции USENIX Security в 2020 году, показало, что ответы антивирусов на VirusTotal по одним и тем же файлам заметно меняются со временем: движки добавляют и снимают обнаружения. Если отчёту несколько месяцев, нажмите повторную проверку.

Что ещё проверить, кроме VirusTotal

Цифровая подпись

У программ крупных разработчиков есть цифровая подпись. Она показывает, кто выпустил файл, и что файл не меняли после подписи. Загрузите программу в Filechek: в отчёте видно, есть ли подпись, чья она и действительна ли. Подпись известной компании и 2 эвристических срабатывания из 70 почти всегда означают ложную тревогу.

Откуда файл

Это часто важнее любого сканера:

  • Официальный сайт разработчика или магазин приложений. Ложное срабатывание вероятно.
  • Торрент, «кряк», активатор, чит для игры, ссылка из чата. Здесь отношение обратное. Под видом таких программ массово распространяют похитители паролей, и «это ложное срабатывание, отключите антивирус» в инструкции к кряку обычно означает ровно противоположное.

Короткий алгоритм

  1. Откуда файл? Если не с официального сайта, не запускайте, даже при 1 из 70.
  2. Кто сработал? Несколько известных антивирусов с одним названием семейства: не запускайте.
  3. Только общие названия у 1-3 малоизвестных движков, файл с официального сайта и с действительной подписью разработчика: скорее всего, ложное срабатывание.
  4. Сомневаетесь: напишите разработчику программы. Если это известная проблема, он обычно уже знает о ней и подаёт заявку производителю антивируса.

Никогда не отключайте антивирус целиком ради одной программы. Если вы уверены в файле, добавьте в исключения только его, а не всю папку загрузок.

Источники