Por que o Windows Defender bloqueia programas que não são vírus, e como saber

Um alerta do antivírus nem sempre é vírus. Como ler uma detecção, o que é falso positivo e o que fazer sem desligar a proteção.

Um escudo com um sinal de verificado e um contador de análise em zero

Primeiro: não desligue o antivírus

Se uma página pede para você desativar o antivírus para instalar alguma coisa, feche essa página. É exatamente o que o malware diz, e nenhum programa legítimo precisa disso. Tudo o que vem abaixo se faz com a proteção ligada.

Dito isso: o antivírus marcar um programa nem sempre quer dizer que ele seja vírus. Acontece muito com ferramentas pequenas, principalmente as que mexem em jogos, e dá para saber quando é um falso positivo.

Dois alertas que se confundem

«O Windows protegeu o computador» (SmartScreen)

Essa tela azul não diz que o arquivo é perigoso. Diz que ele é pouco conhecido: que poucas pessoas baixaram ou que não está assinado com um certificado. É reputação, não análise.

Se você já verificou o arquivo, segue com Mais informações → Executar assim mesmo.

Uma detecção do Windows Defender

Essa sim é uma análise: o Defender olhou o arquivo, deu um nome de ameaça e mandou para a quarentena. Esse nome é a primeira coisa a ler, e diz muito mais do que parece.

Por que acontece com programas que não são vírus

Os antivírus não procuram só vírus conhecidos: também desconfiam do que um programa faz. E muitas ferramentas legítimas fazem coisas que, vistas sem contexto, parecem de malware:

  • leem quais outros programas estão abertos,
  • escrevem arquivos .bat ou abrem o console,
  • modificam arquivos de outro programa — um jogo, por exemplo —,
  • se conectam a um servidor para procurar atualizações.

Ferramentas para jogos como o JuanseUnlock ou o JuanseCraft fazem várias dessas coisas porque esse é o trabalho delas. Não dá para tirar sem o programa deixar de servir.

Soma-se a isso mais duas coisas. A assinatura: um certificado para assinar executáveis custa centenas de dólares por ano, e a maioria dos desenvolvedores pequenos não tem. A reputação: cada versão nova é um arquivo que ninguém baixou ainda, e um arquivo desconhecido começa sob desconfiança.

Como ler o nome da detecção

Não é a mesma coisa um nome que identifica um vírus específico e um que diz «isso me parece estranho». Os segundos são automáticos:

  • Terminam em !ml (no Defender): quem marcou foi um modelo de aprendizado de máquina, não a assinatura de um vírus conhecido.
  • Dizem Heur, ML, Generic, susgen: heurística. «Suspeito, sem especificar do quê».
  • Trazem uma porcentagem, tipo malicious_confidence_60%: um modelo dizendo o quanto tem certeza. E 60% não é muita certeza.

Nenhum desses prova que o arquivo está limpo. Mas dizem que vale a pena verificar antes de se assustar, que é o que vem abaixo.

Como verificar de verdade

  1. De onde você baixou? Da página do autor, sim. De um espelho, um reenvio ou uma «versão premium grátis», não. Metade dos problemas termina aqui.
  2. Passe pelo VirusTotal. Envie o arquivo em virustotal.com e olhe duas coisas: quantos motores marcam e com quais nomes. Três de setenta com nomes genéricos não é o mesmo que quarenta de setenta concordando no nome de uma família.
  3. Compare o hash. Se o autor publica o SHA256 do arquivo, tire o do seu e compare. Se baterem, você tem exatamente o arquivo que ele enviou, não um modificado no caminho.

Para tirar o SHA256, no PowerShell, na pasta do arquivo:

Get-FileHash .\arquivo.exe -Algorithm SHA256

Se depois de verificar você confia no arquivo

Aí se libera esse arquivo, e nada mais:

  1. Abra a Segurança do Windows.
  2. Vá em Proteção contra vírus e ameaças → Histórico de proteção.
  3. Clique na detecção desse arquivo.
  4. Em Ações, escolha Permitir no dispositivo. Os nomes podem variar um pouco conforme a sua versão do Windows.

Isso não desliga a proteção. Libera aquele arquivo em particular; o antivírus continua verificando todo o resto. E se o arquivo mudar — outra versão —, ele é verificado de novo.

O que não fazer

  • Desativar o antivírus «só um pouquinho». Já está acima, mas é o mais importante deste guia.
  • Excluir pastas inteiras, como Downloads. É abrir a porta para tudo o que cair ali depois.
  • Baixar o mesmo programa de outro lugar porque «esse não dá alerta». Menos alertas pode ser porque é outra coisa.
  • Acreditar numa página que te apressa. Ninguém legítimo pede para instalar já, sem verificar.

E se é você quem faz o programa

Duas coisas ajudam de verdade: reportar o falso positivo — a Microsoft tem um formulário para enviar arquivos para análise — e, se der, assinar o executável. O que não ajuda, mesmo sendo a primeira coisa em que todo mundo pensa, é ofuscar ou empacotar mais o código: é justamente o que o malware faz, e os antivírus castigam.

Perguntas frequentes

Se o VirusTotal der 0 detecções, é seguro?

É um sinal muito bom, mas não uma garantia: um vírus recém-feito pode ainda não estar em nenhuma base. Por isso se olha junto com o resto: de onde você baixou e se o hash bate com o que o autor publica.

Se der 1 ou 2 detecções, é vírus?

Não necessariamente. Olhe os nomes: se são genéricos — «Heur», «ML», «susgen», uma porcentagem de confiança — é um modelo automático desconfiando, não um vírus identificado. Se vários motores concordam no nome de uma família específica, aí é sério.

Por que o alerta volta a cada versão nova?

Porque cada versão é um arquivo novo, e um arquivo novo não tem reputação: ninguém baixou ainda. A reputação se ganha com o tempo, arquivo por arquivo.

Posso avisar a Microsoft que é um falso positivo?

Sim. A Microsoft tem um formulário para enviar arquivos para análise, e se confirmarem que está limpo corrigem para todo mundo. Normalmente quem faz é o autor do programa, mas qualquer um pode.

E se eu desativar o antivírus um pouco para instalar?

Não. Nenhum programa legítimo precisa disso, e é exatamente o que o malware pede. Se você confia num arquivo depois de verificar, libera ESSE arquivo; a proteção continua ligada para todo o resto.

Pode te servir