为何Fortran程序触发Windows远程线程上下文变更安全警告？

问题背景 #

我开发的Windows平台Fortran应用大量依赖Win32 API实现功能，为保证GUI交互流畅，频繁通过CreateThread启动后台计算密集型子程序：

my_thread = CreateThread(NULL_SECURITY_ATTRIBUTES,0,LOC(my_subroutine),NULL,0,NULL)

近期用户反馈运行时Windows安全中心弹出警告：application.exe远程更改线程上下文以向自身注入代码。此外应用还使用CloseHandle、WaitForSingleObject等线程API，以及通过CreateProcess启动子进程的代码：

TYPE (T_STARTUPINFO)         :: sival
TYPE (T_PROCESS_INFORMATION) :: pival

call ZeroMemory(LOC(pival),SIZEOF(pival))
call ZeroMemory(LOC(sival),SIZEOF(sival))
sival%cb          = SIZEOF(sival)
sival%dwFlags     = STARTIF_USESHOWWINDOW
sival%wShowWindow = SW_SHOWNORMAL

iret = CreateProcess(path_to_executable,NULL,NULL,NULL,FALSE,CREATE_NEW_CONSOLE,NULL,NULL,sival,pival)
iret = WaitForSingleObject(pival%hProcess,INFINITE)

确认从未使用SuspendThread、WriteProcessMemory或SetThreadContext等典型注入类函数。

触发原因分析 #

Windows安全中心的警告并非精准检测到注入行为，而是基于启发式规则触发：

• 频繁创建线程的特征：短时间内大量调用CreateThread会被识别为异常行为——很多恶意程序会通过批量创建线程执行注入或恶意逻辑，安全中心会将这类模式标记为可疑。
• Fortran线程入口的兼容性问题：Win32的CreateThread要求线程函数遵循特定的调用约定（__stdcall），部分Fortran编译器对线程入口的封装可能生成不符合标准的代码特征，被安全中心误判为“修改线程上下文”的行为。
• 子进程启动的模糊路径：如果path_to_executable使用相对路径而非绝对路径，CreateProcess的调用可能被视为潜在的恶意路径劫持风险，连带触发线程相关的警告。

修复方案 #

• 替换CreateThread为_beginthreadex：_beginthreadex是C Runtime提供的线程创建函数，会自动初始化线程本地存储（TLS），生成的代码特征更符合Windows平台规范，能大幅降低安全中心误判概率。Fortran中可通过接口声明调用：

  interface
      function _beginthreadex(security, stack_size, start_address, arglist, initflag, thrdaddr) bind(C, name='_beginthreadex')
          use, intrinsic :: iso_c_binding
          integer(C_INT) :: _beginthreadex
          type(C_PTR), value :: security
          integer(C_SIZE_T), value :: stack_size
          type(C_FUNPTR), value :: start_address
          type(C_PTR), value :: arglist
          integer(C_UNSIGNED), value :: initflag
          integer(C_UNSIGNED), intent(out) :: thrdaddr
      end function _beginthreadex
  end interface
  

  调用时需确保线程函数遵循C调用约定。
• 使用线程池替代频繁创建线程：改用Windows线程池API（CreateThreadpoolWork、SubmitThreadpoolWork等）管理后台任务，线程池的行为更符合系统预期，不会触发频繁线程创建的可疑特征。
• 给应用添加数字签名：通过正规CA机构获取代码签名证书对应用签名，Windows安全中心会信任已签名的合法程序，大幅减少启发式警告触发概率。
• 优化CreateProcess调用：始终使用绝对路径指定子进程可执行文件，若无需单独控制台，将CREATE_NEW_CONSOLE替换为0（默认值），减少异常行为特征。
• 调整编译器优化选项：尝试关闭过度优化选项（如O3级优化），或启用与Windows平台兼容的编译选项，确保线程入口代码符合Win32规范。

关于NULL_SECURITY_ATTRIBUTES的疑问 #

NULL_SECURITY_ATTRIBUTES仅表示线程继承父进程的安全描述符，不会触发线程注入警告。这个参数的作用是控制线程句柄的可继承性，和“修改线程上下文”的检测规则完全无关，无需为此修改参数。

内容的提问来源于stack exchange，提问作者byl