公開中のソフトウェアがWindows Defenderでマルウェアとして判定された場合の対応 - 2019-03-18 - ククログ

当社ではIE View WEというアドオンを開発・公開しています。これはFirefox上で閲覧中のページやマッチングパターンに当てはまるURLのページをIEもしくは任意の外部アプリケーションで開くという物で、Firefox法人サポートでの需要を想定して、既存のアドオン「IE View」の仕様を参考にFirefox 57以降で使用できる形（WebExtensionsベース）でスクラッチで開発したという物です。 WebExtensionsではアドオンが直接任意の外部アプリケーションを起動する事はできず、Native Messaging Hostと呼ばれるヘルパープログラムを介する必要があります。Native Messaging Hostは任意の言語で実装することができますが、IE View WEのNative Messaging Hostの場合はGoで開発しており、一般のユーザのためにコンパイ

[kfujieda]

他のどの可能性より擬陽性の可能性が圧倒的に高いので僕は最初に擬陽性対策をしてる。ファイルの配布を止めるのを先にやってもいいかもしれない。

[stealthinu]

調査の前に最初にバイナリ公開停止すべきという指摘はなるほどだった。というかこんなん実際にならないと気がついてそう動けないよね。

[el-condor]

“ここで初めて、それまで意図的に敢えて除外していた、擬陽性であった可能性”この辺り流石クリアコードさんや…/素晴らしい知見。MSさんも仕事が早くて素晴らしい

[tmtms]

知見だ

[tikkss]

“被害の拡大を防ぐ事を第一に置くと、最初に取るべき対応は「実際にマルウェア判定されるか確認する」ではなく「サンプルとしてファイルをダウンロードした上で、バイナリの公開を停止する」”今後の教訓だなぁ