Por qué Windows Defender marca programas que no son virus, y cómo saberlo

Un aviso del antivirus no siempre es un virus. Aquí tienes cómo leer una detección, qué es un falso positivo y qué hacer sin apagar la protección.

¿Es virus? No siempre: VirusTotal con 0 de 71 antivirus y Microsoft en «Undetected»

Lo primero: no apagues el antivirus

Si una página te dice que desactives el antivirus para instalar algo, cierra esa página. Eso es exactamente lo que te pide el malware, y ningún programa legítimo lo necesita. Todo lo que vas a leer aquí se hace con la protección encendida.

Dicho eso, que el antivirus marque un programa no siempre quiere decir que sea un virus. Pasa mucho con herramientas pequeñas, sobre todo con las que modifican juegos, y hay formas de saber cuándo se trata de un falso positivo. Para eso, primero hay que distinguir qué aviso te salió.

Dos avisos que se confunden

Windows tiene dos avisos que parecen lo mismo, pero dicen cosas muy distintas.

«Windows protegió tu PC» (SmartScreen)

Esa pantalla azul no dice que el archivo sea peligroso. Dice que es poco conocido: que pocas personas lo han descargado, o que no está firmado con un certificado. Es un tema de reputación, no un análisis del archivo.

Si ya verificaste el archivo con los pasos de más abajo, puedes seguir con Más información → Ejecutar de todas formas.

Una detección de Windows Defender

Esto sí es un análisis: Defender revisó el archivo, le puso un nombre de amenaza y lo mandó a cuarentena. Ese nombre es lo primero que tienes que leer, porque dice mucho más de lo que parece. Pero antes conviene entender por qué le pasa a programas que no son virus.

Por qué le pasa a programas que no son virus

Los antivirus no solo buscan virus conocidos: también sospechan de lo que un programa hace. Y muchas herramientas legítimas hacen cosas que, vistas sin contexto, parecen de malware:

  • revisan qué otros programas están abiertos;
  • escriben archivos .bat o abren la consola;
  • modifican archivos de otro programa, por ejemplo de un juego;
  • se conectan a internet para buscar actualizaciones.

Herramientas para juegos como JuanseUnlock o JuanseCraft hacen varias de estas cosas porque ese es su trabajo, y no se les pueden quitar sin que dejen de servir.

A eso se suman otras dos cosas. La firma: un certificado para firmar programas cuesta cientos de dólares al año, y la mayoría de los desarrolladores pequeños no lo tiene. La reputación: cada versión nueva es un archivo que nadie ha descargado todavía, y un archivo desconocido arranca con desconfianza.

Cómo leer el nombre de la detección

Volviendo al nombre que le puso Defender: no es lo mismo un nombre que identifica un virus concreto que uno que solo dice «esto me parece raro». Estos últimos son automáticos, y se reconocen así:

  • Terminan en !ml (en Defender): lo marcó un modelo de aprendizaje automático, no la firma de un virus conocido.
  • Dicen Heur, ML, Generic o susgen: es heurística, o sea, «sospechoso, sin decir de qué».
  • Traen un porcentaje, como malicious_confidence_60%: es un modelo diciendo qué tan seguro está. Y un 60 % no es estar muy seguro.

Ninguno de esos nombres prueba que el archivo esté limpio. Lo que sí te dicen es que vale la pena verificarlo antes de asustarte, y eso es lo que sigue.

Cómo verificarlo de verdad

Son tres comprobaciones, y conviene hacerlas en este orden:

  1. Revisa de dónde lo bajaste. De la página del autor, bien. De un espejo, de alguien que lo volvió a subir o de una «versión premium gratis», no. La mitad de los problemas se resuelven aquí.
  2. Pásalo por VirusTotal. Sube el archivo a virustotal.com y fíjate en dos cosas: cuántos antivirus lo marcan y con qué nombres. Tres de setenta con nombres genéricos no es lo mismo que cuarenta de setenta que coinciden en el nombre de una familia de virus.
  3. Compara el hash. Si el autor publica el código SHA256 del archivo, saca el del tuyo y compáralos. Si coinciden, tienes exactamente el archivo que él subió, y no uno que alguien modificó en el camino.

Para sacar el SHA256, abre PowerShell en la carpeta donde está el archivo y escribe esto, cambiando el nombre por el del tuyo:

Get-FileHash .\archivo.exe -Algorithm SHA256

Si después de verificarlo confías en el archivo

Entonces puedes permitir ese archivo, y nada más. Para hacerlo necesitas una cuenta de administrador en la PC:

  1. Abre Seguridad de Windows.
  2. Ve a Protección contra virus y amenazas → Historial de protección. En Windows 11 puede decir Protección antivirus y contra amenazas.
  3. Toca la detección de ese archivo.
  4. En Acciones, elige Permitir en el dispositivo. Los nombres pueden cambiar un poco según tu versión de Windows.

Ten en cuenta que el historial solo guarda las detecciones de las últimas dos semanas, y que si Defender ya había borrado el archivo, el permiso vale para la próxima vez: tendrás que descargarlo de nuevo. Y si tienes dudas, Microsoft recomienda dejarlo en Cuarentena.

Esto no apaga la protección. Permite ese archivo en particular, y el antivirus sigue revisando todo lo demás. Si el archivo cambia, por ejemplo con una versión nueva, se revisa otra vez. Y si te arrepientes, lo puedes quitar desde Amenazas permitidas, en la misma sección.

Lo que no hay que hacer

Cuatro cosas que parecen atajos y te pueden salir caras:

  • Desactivar el antivirus «un ratico». Ya lo leíste arriba, pero es lo más importante de toda la guía.
  • Excluir carpetas enteras, como Descargas. Eso es abrirle la puerta a todo lo que caiga ahí después.
  • Bajar el mismo programa de otra página porque «ese no da alerta». Si da menos alertas, puede ser porque es otra cosa.
  • Hacerle caso a una página que te apura. Nadie legítimo te pide que instales algo ya, sin revisar.

Si eres tú quien hace el programa

Si el programa que marcan es tuyo, hay dos cosas que ayudan de verdad: reportar el falso positivo en el formulario que tiene Microsoft para enviar archivos a analizar, y, si puedes, firmar el ejecutable. Lo que no ayuda, aunque es lo primero que se le ocurre a todo el mundo, es ofuscar o empaquetar más el código: eso es justo lo que hace el malware, y los antivirus lo castigan.

Preguntas frecuentes

Si VirusTotal da 0 detecciones, ¿es seguro?

Es una muy buena señal, pero no una garantía: un virus recién hecho puede no estar todavía en ninguna base de datos. Por eso se mira junto con lo demás: de dónde lo bajaste y si el hash coincide con el que publica el autor.

Si da 1 o 2 detecciones, ¿es un virus?

No necesariamente. Mira los nombres: si son genéricos («Heur», «ML», «susgen», un porcentaje de confianza), es un modelo automático sospechando, no un virus identificado. Si varios antivirus coinciden en el nombre de una familia concreta, ahí sí es serio.

¿Por qué el aviso vuelve con cada versión nueva?

Porque cada versión es un archivo nuevo, y un archivo nuevo no tiene reputación: nadie lo ha descargado todavía. La reputación se gana con el tiempo, archivo por archivo.

¿Puedo avisarle a Microsoft que es un falso positivo?

Sí. Microsoft tiene un formulario para enviar archivos a analizar, y si confirman que está limpio, lo corrigen para todos. Normalmente lo hace el autor del programa, pero cualquiera puede hacerlo.

¿Y si desactivo el antivirus un rato para instalar?

No. Ningún programa legítimo lo necesita, y es exactamente lo que te pide el malware. Si confías en un archivo después de verificarlo, permite ESE archivo y deja la protección encendida para todo lo demás.

Te puede servir

Fuentes