Антивирус удалил файл

Что ты видишь

Скачанный файл исчезает, или w0a пропадает после первого же запуска, а программа безопасности сообщает что-нибудь вроде Trojan:Win32/Wacatac либо общее HackTool / PUA.

Почему так происходит

Оптимизатор по своей конструкции делает несколько вещей, которые делает и вредоносный софт: пишет настройки реестра для всей машины, меняет службы, правит планы электропитания и перезапускает Explorer. Поведенческое обнаружение не умеет отделить намерение от действия, поэтому программы, которые оценивают поведение, срабатывают на всю эту категорию софта.

Общие имена — главный признак. Wacatac, Zusy, Score, HackTool, PUA и всё, что заканчивается на .gen, — это эвристические корзины, а не опознание конкретной известной угрозы.

Не добавляй исключение сразу — сначала проверь

«Это ложное срабатывание, жми "Разрешить"» — ровно то, что настоящий вредонос и хотел бы тебе внушить. Сначала проверь, потом решай:

w0a подписан сертификатом подписи кода, поэтому на вкладке Цифровые подписи должна быть подпись на наше имя; её отсутствие или чужое имя — повод остановиться. Она всё равно не говорит, что файл — ровно та сборка, которую мы выпустили. Решает хеш:

Сравни SHA-256 файла с тем, что опубликован на нашей главной странице:

Get-FileHash .\w0a.exe -Algorithm SHA256

Если совпадает — файл байт в байт тот, что мы опубликовали, и по дороге его никто не изменил.

Если хеш не совпадает, обнаружение может быть верным — именно для этого файла. Удали его и скачай заново с w0a.app.

Когда проверка прошла

Добавь в своей программе безопасности исключение для установочного файла и для папки, где лежит w0a. Каждая программа называет это по-своему; ищи «Исключения», «Разрешённые угрозы» или «Восстановить и разрешить на устройстве».

Windows Defender: Безопасность Windows → Защита от вирусов и угроз → Журнал защиты, чтобы восстановить объект, затем Управление настройками → Исключения, чтобы его не забрали снова.

Почему мы просто не отключим обнаружения

Мы не можем. Производители оценивают поведение, а поведение этого продукта именно такое. Что мы можем — сделать файл проверяемым, и это как раз та часть, которая действительно тебя защищает: хеш, который мы публикуем до того, как ты скачаешь, чтобы ты мог доказать, что файл — тот самый, который мы выпустили.

Если обнаружение держится на файле, чей хеш сходится, напиши нам, какая программа и под каким именем его нашла. Именно такие сообщения мы отправляем производителям.