Что делать при ложном срабатывании Behavior:Win32/Hive.ZY в Microsoft Defender

Коротко — о чём речь

5 сентября 2022 года в базе Microsoft Defender появилась сигнатура, из‑за которой на некоторых ПК в Windows начали появляться уведомления об угрозе с меткой Behavior:Win32/Hive.ZY. Это срабатывание помечалось как «высокая» или «серьёзная» угроза, но в большинстве случаев доказано как ложный позитив. Microsoft выпустила обновление сигнатур, которое устраняет всплывающие уведомления.

Кому это может быть заметно

Проблема проявлялась не у всех пользователей: чаще всего уведомление появлялось при открытии некоторых приложений, например:

• Google Chrome (при открытии нового окна, не новой вкладки)
• Chromium Edge
• Electron‑приложения: WhatsApp, Discord, Spotify и похожие

При клике на уведомление Windows Defender отображал варианты действий: «Удалить» и «Разрешить на устройстве». Если выбрать «Удалить», после следующего запуска приложения срабатывание может повториться, пока не будет установлено исправление.

Подтверждение от Microsoft

Представитель сообщества Microsoft подтвердил, что это выглядит как ложный позитив и что множество пользователей сообщают о той же проблеме. Для спокойствия: устройства не были заражены реальным вредоносным ПО — проблема связана с сигнатурами безопасности (security intelligence), а не с исполняемым кодом приложений.

Известные версии сигнатур:

• Проблемная версия: 1.373.1508.0
• Первое исправление: 1.373.1537.0
• После этого вышли более новые версии (например, 1.373.1567.0 и выше)

Как быстро исправить проблему (рекомендуемый порядок действий)

1. Нажмите клавишу Windows и введите «Настройки». Откройте «Настройки».
2. Перейдите: «Конфиденциальность и безопасность» → «Открыть Центр безопасности Windows».
3. Откройте «Защита от вирусов и угроз».
4. Выберите «Обновления защиты» и нажмите «Проверить наличие обновлений».

Если в интерфейсе обновление не появляется, можно обновить сигнатуры вручную через официальный сайт Microsoft (на странице «Security intelligence»/«Microsoft Defender Antivirus updates»). Доступны варианты для 64‑бит и 32‑бит, выберите тот, который соответствует вашей системе.

Версии и исправление: после установки обновления security intelligence 1.373.1537.0 уведомления Behavior:Win32/Hive.ZY должны исчезнуть.

Что делать, если уведомления не исчезают

• Подождите 10–15 минут и повторите проверку обновлений — обновления могут загружаться поэтапно.
• Перезагрузите систему после установки обновлений защиты.
• Проверьте «Историю защиты» в Центре безопасности: если файл в карантине, восстановите его и добавьте исключение только в крайнем случае (см. разделы ниже).
• Выполните полную проверку системы (Full scan) и сканирование в автономном режиме (Offline scan) для уверенности.

Безопасные альтернативы и меры предосторожности

• Не выбирайте «Разрешить на устройстве», если не уверены в происхождении приложения.
• Не удаляйте системные файлы по совету уведомления без проверки источника.
• Если вы IT‑администратор — разослать инструкцию по обновлению сигнатур всем пользователям по каналам поддержки.

Рекомендации для администраторов: краткий план действий (SOP)

1. Проверить, какие версии security intelligence развернуты в сети.
2. Принудительно разослать обновление сигнатур через механизм управления обновлениями (Windows Update for Business, WSUS, SCCM).
3. Отслеживать обращения в службу поддержки: если после обновления есть заявки о недоступных приложениях — проверять карантин.
4. При необходимости восстановить файлы из карантина и выполнить целевое сканирование.
5. Зафиксировать время инцидента и версии сигнатур в журнале инцидентов.

Восстановление из карантина и откат действий

Если вы или пользователь случайно удалили нужный файл, выполните следующее:

• Откройте Центр безопасности Windows → Защита от вирусов и угроз → История защиты.
• Найдите соответствующую запись и выберите «Параметры действий» → «Восстановить» (или «Разрешить» для конкретного файла).
• После восстановления можно добавить файл в исключения: Защита от вирусов и угроз → Управление параметрами → Исключения. Используйте исключения только если уверены в файле.

Важно: добавление исключения снижает защиту для конкретного файла/папки — используйте как временную меру.

Ментальные модели и эвристики для принятия решения

• «Обновление прежде чем паниковать» — если уведомление появилось недавно и совпадает по времени с выходом сигнатур, сначала обновите security intelligence.
• «Не доверяй одиночному событию» — повторные срабатывания после удаления обычно указывают на проблему сигнатур, а не на реальную инфекцию.
• «Минимальное вмешательство» — предпочтительнее обновление и восстановление, чем массовое добавление исключений.

Когда это может быть не ложным срабатыванием — признаки реальной угрозы

• Несанкционированные изменения в реестре или автозагрузке.
• Неожиданное замедление системы, открытие портов, неизвестные сетевые подключения.
• Отсутствие связи с официальным источником приложения (скачено из ненадёжного ZIP, крэкнутый софт и т.п.).

Если есть хоть малейшие сомнения, выполните офлайн-сканирование или обратитесь к специалисту по безопасности.

Краткая памятка для пользователей (чеклист)

• Проверить и установить обновления защиты в Центре безопасности Windows.
• Перезагрузить компьютер.
• Проверить «Историю защиты» на предмет карантина.
• Выполнить полное сканирование при необходимости.
• Обратиться в ИТ‑поддержку, если проблема остаётся.

Часто задаваемые вопросы

Это реально вирус или нет?

Скорее всего — нет. Для описанной серии уведомлений Microsoft подтвердил, что это ложное срабатывание сигнатур. Тем не менее, всегда полезно выполнить полную проверку, если поведение системы вызывает сомнения.

Как быстро получить исправление?

Через «Обновления защиты» в Центре безопасности Windows. Если обновление не видно, обновите вручную с официального сайта Microsoft Security intelligence.

Что делать, если я случайно удалил приложение?

Восстановите файл из карантина через «Историю защиты». Если приложение перестало работать, переустановите его с официального сайта.

Можно ли отключить защиту, чтобы убрать уведомления?

Отключать защиту в долгосрочной перспективе не рекомендуется. Кратковременное отключение может помочь в диагностике, но оставлять систему без защиты опасно.

Итог

Behavior:Win32/Hive.ZY — пример ложного срабатывания сигнатур Microsoft Defender. Простое обновление security intelligence и перезагрузка системы решают проблему для большинства пользователей. Если уведомления остаются, проверьте карантин, выполните полное сканирование и обратитесь к ИТ‑поддержке.

Важное

Если вы администратор, распределите обновления сигнатур по сети и задокументируйте инцидент; если вы пользователь — обновите защиту и восстановите файлы из карантина только в случае уверенности.