Python脚本生成的Windows可执行文件被Windows Defender误报为特洛伊木马

一、针对Windows Defender误报的直接处理 #

• 提交误报申诉：
  在Windows Defender威胁历史记录中找到被拦截的appname.exe，标记为误报。同时通过微软官方误报申诉渠道提交文件，说明这是合法的Python打包应用，附上脚本源码和打包过程说明，推动病毒库更新。
• 添加本地排除项：
  在客户环境的Windows Defender中，将生成的exe文件或其所在目录添加至排除列表。操作路径：Windows Defender > 病毒和威胁防护 > 病毒和威胁防护设置 > 添加或删除排除项 > 选择文件/文件夹添加。

二、优化PyInstaller打包参数降低误报率 #

• 切换打包模式：
  继续使用--onedir（即去掉--onefile）模式打包，生成文件夹形式的应用，可降低杀毒软件对单文件压缩包的敏感检测。若客户需要单文件交付，可将打包后的文件夹用7-Zip等工具封装为自解压包。
• 添加合法元数据：
  创建版本信息文件（如version_info.txt），填入公司名称、应用描述等合法元数据，打包时通过--version-file参数引入，避免被识别为无签名的可疑程序。示例版本文件内容：

  VSVersionInfo(
    ffi=FixedFileInfo(
      filevers=(1,0,0,0),
      prodvers=(1,0,0,0),
      mask=0x3f,
      flags=0x0,
      OS=0x40004,
      fileType=0x1,
      subtype=0x0,
      date=(0,0)
    ),
    kids=[
      StringFileInfo(
        [
          StringTable(
            u'040904B0',
            [StringStruct(u'CompanyName', u'你的公司名称'),
             StringStruct(u'ProductName', u'API信息推送工具'),
             StringStruct(u'FileDescription', u'向门户WebAPI发送数据的应用'),
             StringStruct(u'LegalCopyright', u'Copyright (C) 2024')])
        ]),
      VarFileInfo([VarStruct(u'Translation', [1033, 1200])])
    ]
  )
  

  打包命令：pyinstaller --noconsole --version-file version_info.txt appname scriptfile.py
• 禁用UPX压缩：
  添加--noupx参数禁用UPX压缩，避免杀毒软件对压缩特征的误判：pyinstaller --onefile --noconsole --noupx appname scriptfile.py
• 指定虚拟环境解释器：
  明确使用虚拟环境内的Python解释器执行打包，避免引入系统Python的可疑特征：venv/Scripts/python.exe -m PyInstaller --onefile --noconsole appname scriptfile.py

三、精简依赖与代码优化 #

• 清理冗余依赖：
  你的依赖列表中pydeps、stdlib-list属于开发工具，并非运行必需。创建全新虚拟环境，仅安装requests、certifi等核心运行依赖后重新打包，减少文件体积和可疑特征。
• 调整敏感行为：
  检查代码中是否存在动态加载模块、高频网络请求等易被误判的行为。例如批量发送请求时添加合理时间间隔，避免被识别为恶意爬虫。

四、代码签名（商业部署终极方案） #

购买正规EV代码签名证书，对生成的exe进行签名。签名后的文件会被杀毒软件标记为可信来源，可大幅降低误报率，适合商业客户环境部署。

内容的提问来源于stack exchange，提问作者angeloa63