自制XLSM文件遭Windows Defender报Trojan病毒，求排查原因

核心判断：大概率是Windows Defender的误报 #

结合你描述的情况——文件为自行创建、核心元素（内置引用+JSONConverter模块）长期存在无异常、用户端未触发告警，基本可以排除文件本身感染木马的可能，更可能是Defender的病毒特征库更新后，误将JSONConverter中的部分VBA代码判定为恶意程序特征。

具体原因拆解 #

• 病毒特征库误匹配：JSONConverter模块包含大量字符串解析、数据处理的VBA代码，新更新的Defender特征库可能将其中某些逻辑（比如特定的字符串拼接、对象操作方式）与Trojan:Win32/Leonem或Trojan:O97M/Sadoca.C!ml的特征误匹配。
• 本地环境差异：你的HP Win10笔记本上的Defender可能开启了更严格的实时保护规则，或者病毒库版本比用户端更新，导致仅在你的设备上触发告警。

验证与解决步骤 #

• 定位触发源：将JSONConverter模块单独导出为.bas文件，用Windows Defender扫描该文件。如果扫描触发相同告警，即可确认是该模块导致的误报。
• 确认文件完整性：临时关闭Defender实时保护，打开XLSM文件检查所有模块、工作表代码，确认没有陌生代码或被篡改的痕迹，彻底排除文件被恶意感染的可能。
• 处理误报：
  1. 将该XLSM文件添加到Defender的排除列表，避免后续频繁告警。
  2. 向微软提交误报反馈，帮助其修正特征库判断逻辑。
• 同步环境验证：对比你的设备与用户端的Defender病毒库版本，若版本差异明显，可尝试回滚到之前无告警的病毒库版本（或等待微软推送修正后的特征库）。

内容的提问来源于stack exchange，提问作者kartik