摘要：软件被拦截后，应先保留准确检测名称、文件哈希和复现环境，再区分签名验证失败、未知信誉提示及恶意行为检测。有效代码签名不能证明程序无害，EV 也不保证安全软件放行。确认问题类型后，再分别检查产物完整性、发布渠道或向检测厂商提交样本。
收到“你们软件报毒”的反馈，先不要让用户关闭杀毒软件。请对方保留提示全文、产品名称、系统版本和下载地址，再确定是哪一个文件。
“报毒”这个口头说法覆盖了多种情况。未知应用提示、签名异常、策略禁止运行与明确检出恶意软件，原因不同，处理路径也不应相同。没有准确提示，先重签或更换证书，可能既没解决问题，又丢掉了原始排查依据。
先把样本固定下来
保存用户遇到的实际文件，并记录哈希、大小、版本和渠道。用发布库中的最终交付包对照，而不是随手从构建目录拿一个同版本文件比较。
若两个文件不一致，先检查下载镜像、更新器、安装器封装或中间处理。重复构建也可能产生不同产物，不能只凭版本号就说“文件完全相同”。涉及可疑样本时，应在隔离、获授权的环境分析，不要直接运行在办公电脑上。
根据证据分流
| 观察到的提示 | 优先处理方向 |
| 签名无效、发布者不符等 | 核对文件与签名、链、时间及验证策略 |
| 未识别或信誉不足 | 核对新文件、发布身份与下载来源 |
| 有明确威胁或行为检测名称 | 调查程序及依赖行为，按厂商流程提交样本 |
| 企业策略阻止运行 | 检查管理策略与授权，不直接认定文件有毒 |
第一类可以使用适用的签名验证工具检查。若文件在签署后被不允许地修改，应修复发布过程，不能通过隐藏提示解决。若只是某个验证环境不同，应记录差异后定位，不要用一台机器的结果覆盖其他用户的反馈。
第二类需要与签名失败区分。SmartScreen 等系统可能对新文件作信誉判断，签名存在并不意味着信誉足够。GlobalSign 代码签名提供发布者身份和完整性依据，但不会为每一个安装包预置安全产品的放行结果。
第三类必须认真调查。即使来自合法发布者，程序也可能含有有风险的依赖、安装行为或真正的恶意代码。不能拿“证书由正规CA 签发”作为无需排查的理由。
什么时候向检测厂商提交
经过内部检查后，如认为可能是误报，可以按相应安全产品厂商的提交流程提交原始样本和必要说明。微软提供针对可疑文件及错误检测的提交渠道，也允许软件开发者按相应用途提交。
材料应围绕可复现情况：实际检测名称、引擎或产品版本、文件哈希、下载来源和相关操作。提交前检查隐私、商业秘密与组织授权，避免把带有客户数据的整套安装环境无差别上传。
厂商复核之前，不宜在官网公开承诺“肯定是误报”。可以向用户说明正在核对的范围、提供受控下载来源，并在得到结果后更新说明。是否属于误报，应由证据和检测复核支持。
签名密钥异常需要另一条处置路径
如果发现未经批准的文件使用了企业签名，重点就不只是误报。应按安全事件流程检查Token、HSM 及相关账号的使用记录，确认密钥或权限是否被滥用，并与 CA 沟通适用的证书处置。
不要在没有调查的情况下反复为可疑文件重签，也不要为了让软件继续运行隐瞒密钥风险。代码签名的信任来自发布身份与受控使用；当这个关系受到破坏，继续沿用原流程会扩大影响。
FAQ
Q1：文件签名有效，安全软件为什么还能检测出问题？
A：签名不等于行为审查。合法签署的文件仍可能存在漏洞、危险行为或恶意内容，需要按检测证据调查。
Q2：用户只发来一句“打不开”，需要先重签吗？
A：先取得准确提示与实际文件，区分策略、签名、信誉和威胁检测，再决定处理方式。
Q3：怀疑误报时，可以把所有日志和安装数据都上传吗？
A：应按厂商要求提交必要材料，并检查隐私、商业秘密及授权。不要无差别上传客户或生产数据。
关于 GlobalSign 代码签名
GlobalSign 提供标准与 EV 代码签名产品，企业可按已确认的 Token 或 HSM 方式保护签名密钥。证书服务与恶意软件检测承担不同职责，排查中应分别使用签名验证、程序检查和厂商复核，不把购买证书作为安全软件放行方案。
资料来源
GlobalSign 代码签名产品
https://www.globalsign.cn/code-signing
Microsoft 文件分析与误报提交说明
https://learn.microsoft.com/en-us/defender-xdr/submission-guide