VB6.EXE被Symantec Endpoint误删（WS.Reputation.1）：原因排查与解决

一、设备独有的触发因素分析 #

咱们先拆解下为什么只有这台新设备出问题，大概率是以下几个独有的触发点：

• 文件完整性或哈希差异：这台新设备上最初的VB6.EXE可能在安装时出错，或者被某个临时工具悄悄修改过，导致它的哈希值和团队其他正常机器的不一致，直接触发了Symantec的低信誉检测。
• Symantec本地策略/缓存异常：虽然大家用的都是Symantec 14，但新设备可能存在策略同步延迟、本地缓存损坏，甚至被误设置了更严格的信誉检测阈值（比如有人在本地加了自定义规则），导致对VB6.EXE的判定比其他机器更敏感。
• 设备环境差异：新设备可能装了其他团队机器没有的软件——比如小众系统优化工具、特殊驱动、第三方补丁工具，这些软件可能修改了VB6.EXE的文件属性、数字签名关联，甚至在后台对文件做了微小改动，间接触发了信誉检测。
• 云信誉临时关联误判：Symantec的信誉系统靠的是社区数据，如果这台新设备所在的网络近期有可疑行为记录，或者设备的IP/环境被云系统标记为高风险，可能连累VB6.EXE被关联判定为低信誉。

二、具体解决办法 #

针对这个问题，咱们可以按以下步骤逐步排查解决：

1. 先确认文件的合法性与完整性 #

从团队里已经确认能正常运行VB6的设备复制VB6.EXE，用命令certutil -hashfile VB6.EXE SHA256校验哈希值，确保和正常机器的完全一致——先排除文件本身被篡改的问题。

2. 在Symantec中添加排除规则 #

这是最直接的临时解决办法：

• 打开Symantec Endpoint Protection控制台，进入「病毒和间谍软件防护」→「排除项」
• 添加文件排除：路径选C:\Program Files (x86)\Microsoft Visual Studio\VB98\VB6.EXE
• 或者更稳妥的方式，添加文件夹排除，把整个VB98目录加入排除列表
• 保存规则后，重新复制VB6.EXE到目标路径，观察是否还会被删除。

3. 向Symantec提交误判申诉 #

根据Symantec官方对WS.Reputation.1的说明：

WS.Reputation.1是基于Symantec用户社区数据分析的低信誉文件检测，这类检测基于信誉安全技术，不针对特定威胁类别（如广告软件或间谍软件），而是覆盖所有威胁类型。该信誉系统利用“群体智慧”（数千万Symantec终端用户）结合云智能计算应用程序的信誉评分，以区别于传统特征码和行为检测的全新方式识别恶意软件。

你可以把VB6.EXE的哈希值、文件信息提交给Symantec的误判申诉通道，明确说明这是合法的Visual Basic 6.0 IDE主程序，请求调整该文件的信誉评分，从根源解决误判问题。

4. 检查并同步Symantec策略与更新 #

• 确保这台新设备的Symantec客户端已经更新到最新的病毒定义和客户端版本
• 和团队其他正常设备对比Symantec策略，重点检查「信誉安全」模块的设置——比如是否开启了“自动删除低信誉文件”的严格模式，或者存在本地自定义的检测规则。

5. 排查设备上的特殊软件 #

列出这台新设备上独有的软件（比如新安装的系统优化工具、驱动管理软件），逐一排查是否有修改系统文件或干扰Symantec检测的行为，必要时临时卸载这些软件后测试VB6.EXE是否能正常保留。

6. 重新安装VB6 IDE #

如果以上方法都无效，试试用官方VB6安装介质重新安装：

• 安装前暂时关闭Symantec的实时防护（或把安装目录加到临时排除）
• 安装完成后，再把VB98目录加入Symantec排除项，确保后续运行不会被拦截。

内容的提问来源于stack exchange，提问作者StayOnTarget