Antivirüs dosyayı sildi

Davranışa puan veren güvenlik yazılımları w0a gibi optimizasyon araçlarını işaretliyor, çünkü makine geneli kayıt defteri ayarları yazmak, servisleri değiştirmek ve güç planlarını düzenlemek zararlı yazılımların da yaptığı şeyler. Dosyaya izin vermeden önce SHA-256 değerini indirme sayfamızdaki değerle karşılaştır; tutuyorsa yalnızca o dosyaya izin ver.

Ne görüyorsun

İndirme kayboluyor ya da w0a bir kez çalıştıktan sonra ortadan kalkıyor ve güvenlik yazılımın Trojan:Win32/Wacatac veya genel bir HackTool / PUA etiketi bildiriyor.

Antivirüs w0a'yı neden işaretliyor?

Bir optimizasyon aracı, tasarımı gereği, zararlı yazılımların da yaptığı birkaç şeyi yapıyor: makine geneli kayıt defteri ayarları yazıyor, servisleri değiştiriyor, güç planlarını düzenliyor ve Explorer'ı yeniden başlatıyor. Davranışa bakan tespit, niyeti eylemden ayıramaz; bu yüzden davranış üzerinden puanlayan araçlar bu yazılım kategorisinin tamamını işaretliyor.

Genel isimler ipucudur. Wacatac, Zusy, Score, HackTool, PUA ve .gen ile biten her şey sezgisel kovalardır — belirli, bilinen bir tehdidin teşhisi değil.

Hemen istisna ekleme — önce doğrula

"Yanlış alarm, izin ver'e bas" cümlesi, gerçek bir zararlı yazılımın da duymanı isteyeceği cümledir. Önce kontrol et, sonra karar ver:

Dosyanın Özellikler penceresindeki Dijital İmzalar sekmesi, bir imza olup olmadığını ve kimin adına olduğunu gösterir; orada başka birinin adı yazıyorsa durmak için yeterli sebeptir. Her durumda imza, dosyanın yayınladığımız sürümün ta kendisi olduğunu söyleyemez. Kararı hash kontrolü verir:

1. Dosyanın SHA-256 değerini indirme sayfamızda yayınlanan değerle karşılaştır:

Get-FileHash .\w0a-*.exe -Algorithm SHA256

2. Tutuyorsa dosya, yayınladığımız dosyanın bayt bayt aynısıdır ve yolda kimse ona dokunmamıştır.

Doğruladıktan sonra

Güvenlik yazılımında yalnızca bu dosyaya izin ver — hash'ini az önce doğruladığın dosyanın kendisine; bir klasörün ya da sürücünün tamamına değil. Her araç farklı adlandırıyor; "İzin verilen tehditler", "Geri yükle ve cihazda izin ver" ya da "İstisnalar" gibi bir yer ara.

Windows Defender: Windows Güvenliği → Virüs ve tehdit koruması → Koruma geçmişi üzerinden öğeyi geri yükle, sonra Ayarları yönet → Dışlamalar ile (Klasör değil Dosya seçerek) tekrar alınmasını engelle.

Tespitleri neden tamamen durdurmuyoruz

Durduramayız. Üreticiler davranışa puan veriyor ve bu ürünün davranışı bu. Yapabileceğimiz şey dosyayı doğrulanabilir kılmak — asıl seni koruyan kısım da bu: sen indirmeden önce yayınladığımız ve dosyanın bizim gönderdiğimiz dosya olduğunu kanıtlayabileceğin bir hash.

Hash'i tutan bir dosyada tespit ısrar ediyorsa uyarıyı üreticiye yanlış alarm olarak bildir — çoğunun bir gönderim sayfası var — ve bize yaz: hangi araç, hangi isimle.

İlgili

• İndirdiğim dosyanın gerçekten sizden geldiğini doğrulama