VirusTotal: как читать результат проверки файла

Почему счётчик детектов не равен вероятности заражения

Каждый антивирусный движок использует собственные сигнатуры, эвристики, облачную репутацию и правила именования. Поэтому два продукта могут распознать один объект разными именами, а часть движков вообще не дать детект. VirusTotal подчёркивает, что является агрегатором результатов и не должен восприниматься как единый антивирусный продукт. Число срабатываний полезно как сигнал, но без контекста не показывает «процент опасности». Один конкретный детект известного семейства на свежем неизвестном файле может быть важнее десяти расплывчатых категорий, а единичная общая эвристика на официально подписанном файле может оказаться ложным срабатыванием. Смотрите, насколько согласованы результаты и соответствует ли поведение назначению программы.

Важно: Не делите число детектов на число движков и не называйте результат «вероятностью вируса»: такой метрики VirusTotal не даёт.

Как читать основные статусы

• Undetected. Конкретный движок не сообщил детект. Не гарантирует безопасность; новая или редкая угроза может быть ещё неизвестна
• Suspicious. Есть подозрительные признаки. Нужно смотреть поведение, происхождение и другие сигналы
• Malicious / детект. Движок классифицировал объект как вредоносный или нежелательный. Сравнить названия детектов и устойчивость между вендорами
• Timeout / Unable to process. Движок не завершил или не выполнил анализ. Не считать такой статус «чистым голосом»

Предупреждение: Undetected означает отсутствие детекта именно у конкретного движка в конкретном анализе, а не сертификат безопасности файла.

Как разбирать отчёт VirusTotal по шагам

1. Сначала убедитесь, что анализируется именно ваша копия. Если можете, сравните SHA-256 локального файла с хешем в отчёте. Имя файла ненадёжно: разные объекты могут называться одинаково.
2. Оцените не только количество, но и качество детектов. Отделите конкретные названия семейств или категорий от generic/heuristic-меток. Несколько независимых движков с близкой классификацией весомее одиночного неопределённого срабатывания.
3. Посмотрите сведения о файле: цифровую подпись, тип, размер, дату, известные имена. Если доступно поведенческое наблюдение, сравните создаваемые процессы, сетевые обращения и изменения системы с заявленной функцией программы.
4. Сопоставьте отчёт с происхождением. Официальный установщик с ожидаемым издателем — другая ситуация, чем вложение из неожиданного письма, пиратский патч или исполняемый файл из случайного архива.
5. Если сомнение остаётся, не запускайте файл на основной системе. Получите свежую копию из официального источника или передайте объект специалисту. Безопасное решение важнее попытки угадать по одной цифре.

Совет: Если файл уже известен по SHA-256, искать по хешу безопаснее, чем повторно загружать ту же копию.

Когда срабатывание может быть ложным

Ложное срабатывание вероятнее, когда детект единичный, очень общий и не подтверждается другими признаками, а файл получен с официального источника и подписан ожидаемым издателем. Но это только основание для дополнительной проверки, а не автоматическое оправдание. VirusTotal прямо объясняет: он агрегирует решения поставщиков и не исправляет их детекты сам. Если разработчик считает результат ошибочным, вопрос нужно направлять вендору конкретного движка. Напротив, если несколько независимых продуктов стабильно называют близкое вредоносное семейство, а поведенческие данные показывают действия, не соответствующие назначению файла, списывать всё на false positive рискованно. Учитывайте и свежесть: новый образец может сначала иметь мало детектов, а позже распознаваться точнее.

Что проверить перед решением «запускать или нет»

• SHA-256 отчёта относится к той же копии, которая находится у вас.
• Источник загрузки официальный либо хотя бы проверяемый и ожидаемый.
• Если файл должен быть подписан, издатель и статус подписи соответствуют продукту.
• Детекты не показывают устойчивое согласие на одно вредоносное семейство.
• Поведение не противоречит назначению программы.
• Сомнительная копия не запускается на рабочем компьютере только ради эксперимента.

Совет: Для легального установщика сильный ориентир — совпадение хеша с официальным дистрибутивом плюс ожидаемая цифровая подпись.

Почему нельзя выбирать антивирус по одному отчёту

Отчёт показывает реакцию движков на один объект и в один момент. Он не измеряет полноценную защиту продукта: не учитывает блокировку вредоносного сайта до загрузки, поведенческую защиту после запуска, защиту учётных данных, эксплойт-митигации и множество других слоёв. Конфигурация движка в VirusTotal также может отличаться от розничного продукта. Поэтому вывод «этот антивирус хуже, потому что здесь не сработал» некорректен. Практический смысл отчёта другой: собрать независимые сигналы вокруг конкретного файла и понять, требуется ли дополнительная проверка. Такой подход защищает от двух крайностей — паники из-за единичного false positive и ложного спокойствия из-за большого числа Undetected.

Как учитывать конфиденциальность файла

Не отправляйте в сторонний публичный сервис любой рабочий документ только потому, что хотите «проверить на вирусы». Если файл содержит персональные данные, внутренний код, ключи, договоры, клиентскую информацию или коммерческую тайну, сначала проверьте правила вашей организации. Иногда достаточно найти уже существующий отчёт по хешу или использовать корпоративный анализатор. Для подозрительного вложения из служебной почты правильным маршрутом может быть отдел информационной безопасности. Особенно нежелательно самостоятельно загружать неизвестный архив с внутренними файлами: даже если антивирусная цель понятна, вы можете создать отдельный риск утечки. Контекст хранения и передачи данных — часть безопасного анализа, а не второстепенная формальность.

Пример интерпретации без поспешного вердикта

Представим два отчёта. В первом файл скачан с официального сайта, имеет ожидаемую подпись, его SHA-256 совпадает с опубликованной копией, а один движок показывает generic-срабатывание. Это повод проверить детект и, при необходимости, обратиться к вендору, но ситуация выглядит иначе, чем второй отчёт: неподписанный EXE из письма, несколько близких троянских классификаций и подозрительные сетевые действия. В обоих случаях нельзя вывести математическую вероятность из счётчика, однако совокупность признаков во втором случае существенно хуже. Именно так стоит читать VirusTotal: не искать магический порог «сколько красных достаточно», а проверять согласованность технических сигналов с происхождением и ожидаемым поведением файла.

Что учитывать

Каждый антивирусный движок использует собственные сигнатуры, эвристики, облачную репутацию и правила именования. Поэтому два продукта могут распознать один объект разными именами, а часть движков вообще не дать детект. VirusTotal подчёркивает, что является агрегатором результатов и не должен восприниматься как единый антивирусный продукт. Число срабатываний полезно как сигнал, но без контекста не показывает «процент опасности». Один конкретный детект известного семейства на свежем неизвестном…

Источники и проверка

Фактическая часть сверена по первичным источникам (в т.ч. How it works). Пример и формулировки — редакция N1RO на 2026-09-21.

• How it works
• Results & reports