 Por que o Windows Defender está detectando seu app como Trojan?

Quando o Windows Defender (ou o Microsoft Defender Antivirus) detecta Trojan:Win32/Phonzy.A!ml, Trojan:Win32/Wacatac.B!ml ou Trojan:Win32/Kepavll!rfn em um executável legítimo, isso quase sempre não significa que seu app é malicioso. Significa que ele se parece, do ponto de vista heurístico e de machine learning, com padrões que vírus reais já usaram.

O sufixo !ml nos nomes das detecções é a prova disso: ele indica que a detecção foi feita por um modelo de Machine Learning, não por assinatura conhecida de vírus. Em outras palavras, o algoritmo fez uma "aposta" de que seu código é suspeito — e às vezes ele erra feio, especialmente com apps novos e desconhecidos.

O sufixo !rfn em Kepavll!rfn indica detecção por cloud heuristics refinadas, que também é baseada em comportamento e contexto — não em código malicioso confirmado.

易 O que é Reputação de Arquivo no SmartScreen e como ela funciona?

A raiz do problema não é o código em si — é a ausência de reputação. O Microsoft SmartScreen mantém um banco de dados de reputação para executáveis. Quando um arquivo é baixado por muitos usuários e nenhum denúncia é feita, ele acumula reputação positiva e passa a ser confiável automaticamente.

Quando você assina digitalmente seu app com um certificado Code Signing reconhecido pela Microsoft (especialmente os certificados EV — Extended Validation), essa reputação começa zerada mas cresce rapidamente. Sem nenhum certificado, ela começa zerada e o Defender trata o executável como ameaça potencial até acumular histórico suficiente de downloads não problemáticos. Aqui no @CanalQb, validamos esse comportamento testando a mesma build compilada sem e com assinatura OV: a versão sem certificado dispara Wacatac em quase 100% dos testes em máquinas com Defender atualizado.

 Como explicar o falso positivo para seus usuários sem perder credibilidade?

A transparência é a melhor estratégia de suporte. Usuários técnicos já sabem que falsos positivos existem; o problema real é quando você não tem uma resposta pronta, clara e que transmita confiança. Abaixo está o template de comunicação que validamos na prática — adaptável para e-mail, Discord, WhatsApp e página de suporte.

️ Como enviar seu app para análise na Microsoft (gratuito)?

A Microsoft oferece um portal oficial e completamente gratuito para desenvolvedores reportarem falsos positivos. É o caminho mais direto para remover a detecção — e muitos devs simplesmente não sabem que ele existe. O processo leva de 1 a 5 dias úteis na maioria dos casos.

1. Acesse o portal oficial da Microsoft
   Vá para microsoft.com/en-us/wdsi/filesubmission. Você precisa de uma conta Microsoft (gratuita) para fazer o envio rastreável.
2. Selecione "Incorrect detection (False positive)"
   Escolha esta opção para indicar que o arquivo é seguro e está sendo detectado erroneamente. Não escolha outras opções ou sua solicitação vai para a fila errada.
3. Faça o upload do seu .exe ou instalador
   Envie a versão exata que está sendo sinalizada. Se você atualizar o app depois, precisará re-enviar. O arquivo pode ter até 256 MB no portal padrão.
4. Preencha a justificativa com detalhes técnicos
   Descreva a função do app, a linguagem usada e confirme que não há coleta de dados ou acesso remoto não autorizado. Quanto mais detalhes técnicos, mais rápida a análise.
5. Aguarde o e-mail de resposta e monitore o status
   A Microsoft envia atualizações por e-mail. Após a aprovação, a correção é distribuída via atualização de definições do Defender — automaticamente para todos os usuários Windows.

⚠️ Atenção: O processo resolve a detecção atual. Se você compilar uma nova versão do app, o hash do executável muda e a nova build pode ser sinalizada novamente — e precisará de um novo envio. Por isso, a assinatura digital (mesmo que barata) é a solução definitiva a longo prazo.

 Alternativas de Code Signing acessíveis (sem pagar os R$2.000/ano da CA tradicional)

Certificados EV (Extended Validation) custam entre $300 e $500 por ano nas CAs tradicionais — fora do alcance de muitos indie devs. Mas existem caminhos intermediários que já reduzem drasticamente os falsos positivos, mesmo sem o certificado EV oficial.

A estratégia que recomendamos aqui no @CanalQb para devs iniciando a comercialização: envie ao WDSI para cada nova versão enquanto acumula capital para investir em um certificado OV. O certificado OV já muda o nome exibido no SmartScreen de "Publicador desconhecido" para o nome real da sua empresa/pessoa — isso sozinho já aumenta a confiança dos usuários.

 Como o VirusTotal pode ser seu aliado na comunicação com usuários?

Antes de distribuir qualquer nova versão, faça o upload do seu executável no VirusTotal e guarde o link público do resultado. Isso funciona como uma "nota de segurança independente" — se 65 de 72 engines não detectam nada de errado, esse link é uma prova social poderosa para incluir em todo comunicado de suporte.

Adicionalmente, se o Defender for um dos poucos que detecta e o resto não detecta nada, o próprio relatório do VirusTotal já conta a história para o usuário: "Olha, de 72 antivírus, só 2 sinalizaram — e são detecções de ML, não assinatura confirmada".

A API gratuita do VirusTotal permite 4 uploads por minuto e 500 por dia — mais do que suficiente para automatizar o processo no seu pipeline de build.

⚠️ O que fazer para evitar que isso piore a cada update?

Cada vez que você compila uma nova versão, o hash do executável muda — e a reputação no SmartScreen começa do zero para aquele arquivo específico. Isso significa que o problema se repete a cada release se você não tiver uma estratégia.

Aqui estão as práticas que os leitores do canalqb.com.br já implementaram com sucesso para minimizar o ciclo de falsos positivos a cada atualização: