Defender bloqueou o instalador? Libere o arquivo, não desligue a proteção

Escritório de contabilidade, segunda de manhã. O fornecedor do sistema fiscal manda o instalador da versão nova, o Windows apaga o arquivo e mostra "Ameaça encontrada". O técnico acha um tutorial que ensina a desligar o Defender "por completo", segue os passos, instala e vai embora. Três semanas depois, uma funcionária abre um anexo de "boleto em atraso" e nada impede o arquivo de rodar.

A resposta curta: quando o Defender bloqueia um arquivo legítimo, libere aquele arquivo, pelo tempo necessário, e mantenha a proteção ligada. Antes de liberar, confirme que o arquivo é mesmo o que diz ser: origem, assinatura digital e hash. Desligar a proteção em tempo real como passo permanente resolve o instalador e deixa a máquina sem a rede de segurança para todo o resto.

Por que o tutorial manda desligar, e o que isso custa

O Defender bloqueia por assinatura, quando reconhece um padrão conhecido de malware, e por comportamento e reputação, quando o arquivo faz coisas suspeitas ou é raro demais para ter histórico. Programas pequenos, de fornecedores com poucos usuários, sem assinatura digital ou empacotados com ferramentas também usadas por malware caem no segundo grupo com frequência. É o falso positivo clássico.

Desligar tudo é o atalho de quem não sabe liberar um arquivo só. O problema é que a proteção em tempo real é o que examina cada anexo, cada download e cada pendrive no momento em que o arquivo é aberto. Sem ela, a única barreira entre a máquina e um ransomware é o julgamento de quem clica. E muitos tutoriais desse tipo nasceram para instalar programa pirata, cujo "falso positivo" frequentemente é verdadeiro.

Vale saber também: desligar a proteção em tempo real pela tela do Segurança do Windows é temporário, e o próprio sistema a religa depois de um tempo. Para desligar "de vez", os tutoriais mandam desativar a Proteção contra Adulteração e mexer em política ou Registro. Essa camada existe justamente para impedir que um malware faça o mesmo. Sobre mexer no Registro por causa de um post, veja Mexer no Registro do Windows por causa de um post é roleta.

Como liberar o instalador do jeito certo, passo a passo

O exemplo usa o instalador SetupFiscal2026.exe, baixado do site oficial do fornecedor para a pasta C:\Instaladores. Os comandos são do PowerShell, abertos como administrador.

1. Veja o que foi detectado

Em Segurança do Windows, abra Proteção contra vírus e ameaças e depois Histórico de proteção. A entrada mostra o nome da ameaça, o arquivo afetado e a ação tomada. No PowerShell, o mesmo dado:

Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending |
  Select-Object -First 5 InitialDetectionTime, ThreatID, Resources

Get-MpThreat | Select-Object ThreatID, ThreatName, SeverityID

O nome importa. Detecções genéricas, de reputação ou de "programa potencialmente indesejado" são candidatas a falso positivo. Um nome que indica trojan, ransomware ou ladrão de senhas específico pede muito mais cautela: pare e fale com o fornecedor antes de qualquer liberação.

2. Confirme que o arquivo é o original

$arquivo = "C:\Instaladores\SetupFiscal2026.exe"
Get-FileHash -Path $arquivo -Algorithm SHA256
Get-AuthenticodeSignature -FilePath $arquivo | Format-List Status, SignerCertificate

Compare o hash com o que o fornecedor publica no site ou informa pelo suporte. Na assinatura, Status deve ser Valid e o certificado deve estar em nome da empresa que você espera. Se o arquivo veio por e-mail, por link encurtado ou de um site espelho, baixe de novo da fonte oficial antes de continuar.

3. Atualize as definições e examine de novo

Update-MpSignature
Start-MpScan -ScanType CustomScan -ScanPath $arquivo

Falsos positivos costumam ser corrigidos em atualizações de definição. Se a nova varredura não acusar nada, o problema acabou sem exceção nenhuma.

4. Libere só o arquivo, pelo tempo da instalação

Se o arquivo foi para a quarentena, restaure pelo Histórico de proteção, em Ações, escolhendo restaurar ou permitir no dispositivo. Se ele precisa rodar sem ser barrado de novo, crie uma exclusão para o caminho exato, instale e remova a exclusão em seguida:

Add-MpPreference -ExclusionPath "C:\Instaladores\SetupFiscal2026.exe"

# rode o instalador aqui

Remove-MpPreference -ExclusionPath "C:\Instaladores\SetupFiscal2026.exe"
(Get-MpPreference).ExclusionPath

A última linha lista as exclusões que sobraram. O ideal é que ela não mostre nada, ou só exclusões que você sabe justificar. Nunca exclua C:\, a pasta Downloads ou a pasta do usuário inteira.

5. Avise quem pode corrigir na origem

Peça ao fornecedor que assine o instalador e reporte o falso positivo à Microsoft pelo portal de envio de arquivos da Microsoft Security Intelligence. Assim o próximo cliente não passa pelo mesmo problema, e a versão seguinte não exige exceção.

6. Confirme que a proteção voltou

Get-MpComputerStatus |
  Select-Object AMRunningMode, AntivirusEnabled, RealTimeProtectionEnabled, IsTamperProtected, AntivirusSignatureLastUpdated

O esperado numa máquina sem outro antivírus é AMRunningMode em Normal, RealTimeProtectionEnabled e IsTamperProtected em True e definições de hoje ou de ontem. Rode o mesmo comando nas outras máquinas do escritório: se alguém seguiu o tutorial antes, é aqui que aparece.

Quando o aviso não vem do antivírus

A tela azul "O Windows protegeu o computador" ao abrir um programa é do SmartScreen, não da detecção de vírus. Ela aparece para arquivos sem reputação, geralmente sem assinatura ou recém-publicados. A decisão é a mesma do passo 2: se a origem, o hash e a assinatura conferem, use "Mais informações" e execute. Não desligue o SmartScreen para todos os arquivos por causa de um.

Se a máquina tem outro antivírus instalado, o Defender passa sozinho para o modo passivo, e o AMRunningMode mostra isso. Não é preciso desligá-lo à mão. E se o problema não é bloqueio, mas lentidão em pastas de desenvolvimento, o caminho é outro: veja Build lento por causa do Defender.

Erros comuns

• Desligar a proteção em tempo real "até instalar" e esquecer. A máquina passa semanas aceitando qualquer anexo sem inspeção.
• Desativar a Proteção contra Adulteração para seguir o tutorial. Remove a camada que impede malware de desligar o antivírus sozinho.
• Liberar sem conferir hash e assinatura. Se o arquivo foi trocado no caminho, você acabou de autorizar o malware.
• Excluir a pasta inteira de downloads ou o disco. Tudo que cair ali passa a rodar sem verificação.
• Não remover a exclusão depois. A exceção pontual vira política permanente sem que ninguém decida isso.
• Ignorar o nome da ameaça. Uma detecção específica de trojan não é falso positivo só porque o arquivo veio de alguém conhecido.

Checklist

• Nome da detecção lido e avaliado antes de qualquer liberação.
• Arquivo baixado da fonte oficial, com hash conferido.
• Assinatura digital válida e em nome do fornecedor esperado.
• Definições atualizadas e nova varredura feita.
• Exclusão limitada ao caminho exato e removida depois da instalação.
• Falso positivo reportado ao fornecedor e à Microsoft.
• Proteção em tempo real e Proteção contra Adulteração ligadas, conferidas com Get-MpComputerStatus.

Abra o PowerShell agora e rode Get-MpComputerStatus. A proteção em tempo real desta máquina está ligada, e a lista de exclusões tem só o que você sabe explicar? Se aparecer uma pasta que ninguém lembra de ter excluído, comece por ela.