Windows 10 Defender误报autopytoexe打包的Python可执行文件为木马

这类误报本质是autopytoexe底层依赖的PyInstaller打包特征被Windows Defender的恶意代码特征库标记为高风险，大量恶意程序使用PyInstaller打包无源码的可执行文件，导致合法打包的程序也被牵连误报。

• 临时本地使用解决方案 #

  • 直接在Defender的威胁告警页面选择「允许在设备上」，即可恢复该文件的访问权限
  • 把打包输出的文件/文件夹加入Defender排除列表：打开Windows安全中心→病毒和威胁防护→「病毒和威胁防护设置」下的管理设置→下拉找到「排除项」点击添加或删除排除项，选择对应文件/文件夹添加即可，后续该路径下的文件不会被Defender扫描

• 规避通用误报的方案 #

  • 调整打包参数：autopytoexe默认的单文件（One File）打包模式触发误报的概率远高于文件夹（One Directory）模式，优先选择文件夹模式打包；打包时不要加--uac-admin这类提权参数，也能降低误报概率
  • 给可执行文件添加数字签名：正规的商用数字签名能大幅降低Defender的误报概率，仅本地使用的话也可以用PowerShell的New-SelfSignedCertificate命令生成自签名证书，再用signtool工具对生成的exe文件签名
  • 更换打包工具：使用Nuitka代替PyInstaller系的打包工具，Nuitka会将Python代码转译为C代码再编译为本地可执行文件，生成的文件特征和PyInstaller完全不同，基本不会触发Defender误报
  • 提交误报给微软：如果你的程序要对外发布，可以到微软的恶意软件误报提交门户上传你的exe文件，标注为合法软件，微软审核通过后会更新特征库，后续就不会再被误报

• 代码层面的调整建议 #

  你当前代码里的硬编码创建文件逻辑刚好匹配部分木马的行为特征，可以调整为创建文件前弹出用户确认窗口，或者让用户自主选择文件保存路径，避免硬编码固定文件名写入文件，也能降低触发行为检测的概率。

内容的提问来源于stack exchange，提问作者Frederick Davis