L'antivirus ha rimosso il file

I programmi di sicurezza che valutano il comportamento segnalano ottimizzatori come w0a, perché scrivere impostazioni del registro valide per tutta la macchina, cambiare servizi e regolare le combinazioni per il risparmio di energia è anche quello che fa il malware. Prima di consentire il file, confronta il suo SHA-256 con quello della nostra pagina di download; se coincide, consenti solo quel file.

Cosa vedi

Il download sparisce, oppure w0a non c'è più dopo il primo avvio, e il tuo programma di sicurezza segnala qualcosa come Trojan:Win32/Wacatac o un'etichetta generica HackTool / PUA.

Perché il mio antivirus segnala w0a?

Un ottimizzatore fa, per costruzione, diverse cose che fa anche il software dannoso: scrive impostazioni di registro valide per tutta la macchina, modifica servizi, cambia le combinazioni di risparmio energia e riavvia Explorer. Il rilevamento basato sul comportamento non riesce a separare l'intenzione dall'azione, quindi i programmi che assegnano un punteggio al comportamento segnalano l'intera categoria di software.

I nomi generici sono l'indizio. Wacatac, Zusy, Score, HackTool, PUA e tutto ciò che finisce in .gen sono contenitori euristici, non l'identificazione di una minaccia specifica e già conosciuta.

Non aggiungere subito un'esclusione — prima verifica

Sentirsi dire "è un falso allarme, clicca su consenti" è esattamente la frase che il software dannoso vero vorrebbe farti sentire. Prima verifica, poi decidi:

La scheda Firme digitali nelle Proprietà del file mostra se c'è una firma e a nome di chi; se lì compare il nome di qualcun altro, è un motivo per fermarsi. In ogni caso, una firma non può dirti che il file sia esattamente la build che abbiamo pubblicato. È l'hash a decidere:

1. Confronta lo SHA-256 del file con quello pubblicato sulla nostra pagina di download:

Get-FileHash .\w0a-*.exe -Algorithm SHA256

2. Se coincide, il file è byte per byte quello che abbiamo pubblicato e nessuno lo ha alterato lungo la strada.

Quando la verifica è pulita

Consenti solo questo file nel tuo programma di sicurezza — esattamente il file di cui hai appena controllato l'hash, non un'intera cartella o un'intera unità. Ogni programma lo chiama in modo diverso; cerca "Minacce consentite", "Ripristina e consenti nel dispositivo" oppure "Esclusioni".

Windows Defender: Sicurezza di Windows → Protezione da virus e minacce → Cronologia protezione per ripristinare l'elemento, poi Gestisci impostazioni → Esclusioni (scegli File, non Cartella) perché non venga raccolto di nuovo.

Perché non facciamo semplicemente sparire i rilevamenti

Non possiamo. I produttori valutano il comportamento, e il comportamento di questo prodotto è quello che è. Quello che possiamo fare è rendere il file verificabile, ed è proprio questa la parte che ti protegge davvero: un hash che pubblichiamo prima che tu scarichi, così puoi dimostrare che il file è quello che abbiamo distribuito.

Se un rilevamento resta su un file il cui hash è corretto, segnalalo al produttore come falso positivo — la maggior parte ha una pagina apposita — e scrivici quale programma lo segnala e con quale nome.

Correlati

• Controllare che il download venga davvero da noi