Почему антивирус блокирует Happ

Что защита видит вместо «вируса»

Мастер не просто копирует окно на диск. Он ставит сетевой драйвер и просит Windows завести виртуальный адаптер. Для эвристики это похоже на программу, которая встраивается в трафик. Отсюда плашка ещё до того, как вы нажали подключение. Плашка на мастере ещё не значит, что туннель уже поднялся.

Дальше клиент уводит пакеты в туннель. Так же ведут себя и вредоносные перехватчики, поэтому правило общее: новый сетевой фильтр проверяют жёстче обычного блокнота. Happ попадает в эту корзину по поведению, не по картинке сайта, с которого вы его взяли. Картинка сайта загрузку не обеляет и не обвиняет.

Свежий файл часто без репутации. Базы ещё не видели именно этот setup-Happ.x64.exe, и вопрос звучит страшнее, чем есть. Репутация появляется со временем, а не от переименования exe в что-то нейтральное. Базы смотрят содержимое, не красивое имя.

Официальная сборка из релизов Happ-proxy/happ-desktop имеет право на такой вопрос. Форк с подписью «антивирус не увидит» как раз обходит эвристику тем, что уже перепакован. Его молчание — плохой знак, не рекомендация. Официальный вопрос короче, чем тихий чужой файл.

• Ставит сетевой драйвер и виртуальный адаптер
• Уводит трафик в туннель, и это похоже на перехват
• Свежий файл ещё без репутации в базе
• Подпись официального релиза не отменяет эвристику
• Сборка «защита не увидит» опаснее самого вопроса

Плашка не равна приговору

Текст вроде «подозрительное поведение», «потенциально нежелательная программа» или «риск для сети» описывает класс действий. Он не доказывает, что в файл дописали чужое. Смотрите путь и имя: setup-Happ.x64.exe или уже поставленный Happ.exe. Другое имя в той же плашке — уже не этот клиент.

Если путь ведёт в случайную папку из чата, эвристика как раз попала в цель. Такой файл не делают доверенным. Удалите его и возьмите мастер из Happ-proxy/happ-desktop, затем решайте вопрос уже с этим экземпляром. Доверие к чату исключение не заменяет.

SmartScreen Windows — соседнее окно, синее, про неизвестного издателя. Его путают с антивирусом, но лечится оно иначе: сверкой издателя и имени файла, не правилом в карантине. Оба окна в один день возможны и не отменяют друг друга. Сначала имя файла, потом уже какое окно закрывать.

Удаление, карантин и тихий обрыв

Один и тот же мотив даёт три картинки. Файл исчез — его унесли в карантин. Окно гаснет через секунду — процесс завершают на лету, а exe на диске цел. Список узлов пустой — режут обращение за подпиской, не сам ярлык. Ярлык при этом открывается, и кажется, что файл цел.

Лечение разное, причина общая. Во всех трёх случаях программе не верят сетевые права. Исключение на папку закрывает удаление и завершение, отдельное разрешение сети закрывает пустой список. Одна кнопка «пауза на час» не закрывает ничего назавтра. Завтрашний скан повторит сегодняшний вопрос.

Какой продукт пишет журнал, смотрите по значку в трее, не по статье наугад. Общий случай, когда файл уже исчез и продукт не разбирают по меню, — в материале антивирус удалил Happ. Там путь возврата, здесь только мотив. Меню конкретного продукта ищите по значку в трее.

ESET, например, часто режет именно сеть и протоколы, хотя файл уже на диске. Это частный вид той же эвристики. Куда нажимать в его окне, собрано в материале Happ и ESET, без повторения причины. Причина у всех одна: сетевой фильтр выглядит подозрительно.

Что делают зря

Ищут сборку, которую базы «не детектят». Такая сборка либо устарела и уже отозвана как подписка внутри, либо несёт лишнее. Официальный вопрос защиты короче, чем разбор чужого архива после заражения. Официальный мастер хотя бы предсказуемо шумит.

Добавляют в доверенные весь диск или все exe. Эвристика тогда молчит и на следующем случайном файле. Достаточно каталога, куда мастер положил Happ, и самого Happ.exe. Весь диск в доверенных открывает следующую случайную загрузку.

Сносят антивирус и ставят второй «дружелюбный». Два продукта спорят за один драйвер, и Happ блокируют уже оба. Оставьте одну защиту и объясните ей один путь. Второй продукт исключения первого не видит.

Переименовывают файл в notepad.exe. Проверка смотрит поведение и подпись, не три буквы. Переименованный мастер ещё и ломает обновление: следующий официальный setup-Happ.x64.exe не найдёт, что заменять. Имя мастера оставляйте setup-Happ.x64.exe.

После того как вопрос закрыт

Запустите Happ из «Пуска», подождите минуту, откройте журнал защиты. Новой строки по этому пути быть не должно. Затем одна вставка своей ссылки и один узел. Серия переподключений не проверяет, молчит ли эвристика. Минута тишины в журнале понятнее пяти узлов подряд.

Строку показывает бот Nasa VPN. Защита могла оборвать первую загрузку списка ещё до исключения, поэтому пустая карточка после галочки — повод вставить строку заново, не качать другой клиент. Строка могла оборваться ещё до галочки.

Адаптер подтвердите, если Windows спросит. Этот запрос как раз следствие драйвера, из-за которого шумела эвристика. Отказ оставляет окно без маршрута, и кажется, что блокировка никуда не делась. На запросе драйвера логотипа антивируса нет.

Срок эвристика не выдаёт. Нужна страница оплаты, если своего доступа нет. Галочка в защите не является тарифом и не кладёт серверы внутрь exe. После чека строку всё равно вставляют вручную.

Чтобы вопрос не вернулся завтра

Обновление клиента — новый setup-Happ.x64.exe из того же места. Базы могут спросить снова, потому что файл новый. Добавьте папку заранее, если путь тот же, и не пугайтесь повторного окна на свежем мастере. Новый файл для баз снова «незнакомый», даже из того же места.

Смена антивируса на другой продукт обнуляет исключения. Новой защите путь придётся показать заново. Это не «Happ снова стал вирусом», это пустой список доверенных у нового сторожа. Путь придётся показать ещё раз, это занимает минуту.

Чужой форк не храните рядом «на всякий случай». Завтрашний скан найдёт его первым и приучит вас думать, что официальный клиент виноват так же. Одна папка, одно имя файла. Запасной форк в «Загрузках» завтра снова откроет ту же плашку.

Когда журнал тих, адаптер есть и сайт открывается, мотив блокировки отработан. Дальше любой конкретный продукт — уже его меню, а не новая теория, почему туннель вообще выглядит подозрительно. Повторять теорию при каждом новом антивирусе не нужно: мотив тот же.