Антивирус удалил файл

Что ты видишь

Скачанный файл исчезает, или w0a пропадает после первого же запуска, а программа безопасности сообщает что-нибудь вроде Trojan:Win32/Wacatac либо общее HackTool / PUA.

Почему так происходит

Оптимизатор по своей конструкции делает несколько вещей, которые делает и вредоносный софт: пишет настройки реестра для всей машины, меняет службы, правит планы электропитания и перезапускает Explorer. Поведенческое обнаружение не умеет отделить намерение от действия, поэтому программы, которые оценивают поведение, срабатывают на всю эту категорию софта.

Общие имена — главный признак. Wacatac, Zusy, Score, HackTool, PUA и всё, что заканчивается на .gen, — это эвристические корзины, а не опознание конкретной известной угрозы.

Не добавляй исключение сразу — сначала проверь

«Это ложное срабатывание, жми "Разрешить"» — ровно то, что настоящий вредонос и хотел бы тебе внушить. Сначала проверь, потом решай:

Вкладка Цифровые подписи в свойствах файла показывает, есть ли у него подпись и на чьё она имя; чужое имя там — повод остановиться. В любом случае подпись не может сказать, что файл — ровно та сборка, которую мы выпустили. Решает хеш:

Сравни SHA-256 файла с тем, что опубликован на нашей странице загрузки:

Get-FileHash .\w0a-*.exe -Algorithm SHA256

Если совпадает — файл байт в байт тот, что мы опубликовали, и по дороге его никто не изменил.

Если хеш не совпадает, обнаружение может быть верным — именно для этого файла. Удали его и скачай заново с w0a.app.

Когда проверка прошла

Разреши в своей программе безопасности только этот файл — именно тот, чей хеш ты только что проверил, а не всю папку или диск. Каждая программа называет это по-своему; ищи «Разрешённые угрозы», «Восстановить и разрешить на устройстве» или «Исключения».

Windows Defender: Безопасность Windows → Защита от вирусов и угроз → Журнал защиты, чтобы восстановить объект, затем Управление настройками → Исключения (выбери Файл, а не «Папка»), чтобы его не забрали снова.

Почему мы просто не отключим обнаружения

Мы не можем. Производители оценивают поведение, а поведение этого продукта именно такое. Что мы можем — сделать файл проверяемым, и это как раз та часть, которая действительно тебя защищает: хеш, который мы публикуем до того, как ты скачаешь, чтобы ты мог доказать, что файл — тот самый, который мы выпустили.

Если обнаружение держится на файле, чей хеш сходится, сообщи о нём производителю как о ложном срабатывании — у большинства для этого есть отдельная страница — и напиши нам, какая программа и под каким именем его нашла.