含异步线程的Win32 C++文件枚举程序触发Windows Defender威胁告警

我开发了一个Win32 C++程序，为了避免UI阻塞，程序启动后会创建异步线程来枚举指定路径下的所有文件和目录。核心实现代码如下：

APP_FETCH_THREAD_SPEC* customData = new APP_FETCH_THREAD_SPEC({ 
                 globalCurrentPath, 
                 timestamp });
HANDLE hThread = CreateThread(NULL/*default security attrs*/, 
                              0/*default stack size*/, 
                              Thread_Fetch_Func,  // See code below
                              customData, 
                              0/*default creation flags*/, 
                              NULL);

// ...
// Thread code to fetch files/directories
    WIN32_FIND_DATA findData;
    HANDLE hFind = INVALID_HANDLE_VALUE;
    std::wstring full_path = inputPath + L"\\*";
    hFind = FindFirstFile(full_path.c_str(), &findData);
    do {
       // ... etc. normal Win32 file-listing process for a given path ... 
    } while (FindNextFile(hFind, &findData) != 0);
    //...
    return results;

编译运行后，Windows Defender会识别出威胁Program:Win32/Wacapew.A!ml，但如果移除异步线程，直接在主线程中阻塞式执行文件枚举（此时UI会失去响应），则不会触发告警。

原因分析 #

这种误报通常源于Windows Defender的机器学习模型将“程序启动后立即创建异步线程执行文件系统枚举”的行为判定为潜在恶意操作——不少恶意软件会采用类似逻辑遍历文件系统以收集敏感信息或完成自我传播，你的程序行为恰好命中了模型的检测规则。

解决办法 #

• 提交误报申诉：
  打开Windows Defender安全中心，找到对应的威胁记录，选择该误报项并提交“这是安全的”申诉。微软威胁情报团队会审核程序样本，后续更新病毒定义后即可解除误报。
• 代码层面优化：
  • 不要在程序启动时自动触发异步枚举，改为由用户操作（比如点击按钮）触发线程创建，降低被判定为恶意的概率。
  • 改用C++标准库推荐的_beginthreadex替代CreateThread创建线程，这种更合规的线程创建方式可能会被Defender识别为正常行为。
  • 在文件枚举循环中添加少量延迟（比如Sleep(10)），模拟正常用户操作的访问节奏，避免高频文件系统操作触发检测。
• 本地临时排除：
  在Windows Defender的排除项中添加程序所在路径或可执行文件，暂时规避开发测试阶段的误报，但此方法仅适用于本地调试，不建议推送给最终用户。

内容的提问来源于stack exchange，提问作者gene b.