为何我的C# .NET 4.8程序被杀毒软件拦截无法运行？

我有一个C# .NET 4.8项目，生成的可执行文件被杀毒软件阻止运行：

• Visual Studio报错截图：
• 杀毒软件通知截图：

我已定位到引发问题的代码：程序内置一个每分钟运行一次的Timer，Tick事件触发时会检查是否存在名为Terminate.txt的文件；若文件存在，程序会在3分钟后自动关闭。

终端用户均处于同一网络的虚拟环境中，且从同一目录运行该程序。维护时我只需将xTerminate.txt改名为Terminate.txt，就能让所有环境的程序自动关闭，无需用户操作。

相关代码如下：

初始化Timer的代码 #

public Timer poisonPill = new Timer();
poisonPill.Interval = (1 * 60 * 1000);  // 每分钟触发一次
poisonPill.Tick += new EventHandler(poisonPill_Tick);
poisonPill.Start();

Timer Tick事件处理代码 #

private void poisonPill_Tick(object sender, EventArgs e)
{
    if (File.Exists("Terminate.txt"))
    {
        poisonPill.Enabled = false;

        string message;

        try
        {   // 读取触发文件内容
            using (StreamReader sr = new StreamReader("Terminate.txt"))
            {
                String line = sr.ReadToEnd();
                message = line;
            }
        }
        catch (Exception ex)
        {
            message = "Application closing in 3 minutes for maintenance by administrator";
        }

        Timer terminator = new Timer();
        terminator.Interval = (3 * 60 * 1000);
        terminator.Tick += terminator_Tick;
        terminator.Start();

        MessageBox.Show(message + "\n\nNotification Time:  " + DateTime.Now.ToString("h:mm tt") +
            "\n\nApplication closes 3 minutes after Notification Time.", "3-Minute Application Closing Alert");
    }
}

终止程序的Timer Tick事件 #

private void terminator_Tick(object sender, EventArgs e)
{
    Application.Exit();
}

请问这段代码为何会导致杀毒软件拦截程序运行？

可能的拦截原因 #

• 行为特征匹配恶意软件：杀毒软件会基于行为模式识别风险。你的程序每分钟扫描本地文件、读取内容后自动终止自身，这种“定时扫描触发自终止”的逻辑，和部分恶意程序（如勒索软件触发销毁逻辑、病毒自清理）的行为高度重合，极易被误判。
• 敏感文件名触发检测：Terminate这类带有明确终止含义的文件名，属于杀毒软件的敏感关键词范畴，结合程序的自终止逻辑，会进一步提升风险评分。
• 未签名的未知程序：如果你的可执行文件没有经过代码签名，杀毒软件对这类无合法来源标识的程序会更加警惕，微小的可疑行为就会触发拦截。

解决方法 #

1. 修改敏感命名：将Terminate.txt改为更中性的文件名，比如AppMaintenanceTrigger.txt，避免触发关键词检测。
2. 添加验证逻辑：给触发文件增加特定验证规则，比如要求文件内容包含预设的密钥字符串，而非仅检测文件存在，以此区分正常维护触发与恶意文件：

   // 修改后的检测逻辑示例
   if (File.Exists("AppMaintenanceTrigger.txt"))
   {
       string content = File.ReadAllText("AppMaintenanceTrigger.txt").Trim();
       if (content == "Authorized_Maintenance_2024") // 预设验证字符串
       {
           // 执行后续关闭逻辑
       }
   }
   

3. 给程序签名：申请代码签名证书对可执行文件签名，让杀毒软件识别到程序的合法来源，减少误拦截概率。
4. 加入杀毒白名单：在终端杀毒软件中，将程序所在目录或可执行文件添加到信任列表，适合内部统一部署的场景。
5. 降低扫描频率：把每分钟扫描调整为每5-10分钟一次，减少被判定为“恶意循环扫描”的可能。

内容的提问来源于stack exchange，提问作者zackychan97