Python程序改用类后被Windows Defender误报病毒的排查方法咨询

核心排查思路：逐步缩小范围 #

• 二分法代码排查：将旧版本代码与新版本类结构代码拆分，先保留旧版本可正常打包的核心逻辑，逐步添加新版本的类模块/代码段，每次添加后用auto-py-to-exe打包并检测，直到出现误报，即可锁定触发问题的具体代码块。若代码量较大，可按类的功能模块拆分，逐个测试。
• 重点排查敏感行为：结合新旧代码差异，聚焦新增类结构中的可疑逻辑：
  • 敏感文件操作：如批量读写系统目录（C:\Windows、AppData）、修改注册表、动态生成/执行代码（exec、eval、非常规importlib用法）
  • 网络相关逻辑：未声明的HTTP请求、Socket监听、自动下载文件等行为
  • 加密/混淆代码：如Base64解码后执行、使用第三方加密工具处理代码

打包参数调整测试 #

• 更换打包模式：将One File改为One Directory，或修改输出文件名、路径，部分误报由打包后的文件结构特征触发
• 禁用UPX压缩：关闭auto-py-to-exe中的UPX压缩选项，压缩后的可执行文件常被杀毒软件标记为可疑
• 更换Python版本：尝试用不同版本的Python（如从3.10切换到3.9）打包，不同版本的字节码结构可能避开特征库匹配

利用检测报告辅助定位 #

• 查看VirusTotal中两个版本的报毒引擎差异，记录触发误报的引擎名称，针对性查找其误报规则（部分引擎对Python打包后的特定结构敏感）
• 关注误报的病毒名称：若为通用特洛伊标记（如Trojan:Win32/Wacatac.B!ml），基本可判定是行为触发的误报，而非代码本身存在恶意

最终确认与申诉 #

• 若排查后确认是误报，可整理代码、打包文件及检测报告，提交给Windows Defender的误报申诉通道，同时在VirusTotal上针对报毒引擎提交申诉，加快解除标记

内容的提问来源于stack exchange，提问作者Sokoloft