Czy Kaption jest bezpieczny?

SmartScreen pokazuje „nieznany wydawca", bo w otwartej becie instalator nie jest podpisany. Certyfikat Authenticode to około 400 €/rok — odkładamy ten wydatek, aż beta wyjdzie na prostą i konwersja uzasadni ten koszt.

Jak przejść dalej: kliknij Więcej informacji, potem Uruchom mimo to. Tak się robi z każdą niepodpisaną aplikacją indie. Sam Microsoft Defender (czyli silnik antywirusowy, który stoi za tym oknem) daje na pliku czysto — SmartScreen patrzy tylko na reputację, nie na zawartość zagrożenia.

Zerknij na końcówkę .ml.score. To nie jest trafienie sygnatury znanego malware'u — to predykcja z klasyfikatora machine learning. Model widział już w złych plikach cechy, które siedzą też w binarce Kaption, więc na wszelki wypadek macha czerwoną flagą.

Trzy z tych cech faktycznie u nas pasują i żadna nie jest złośliwa:

• Brak podpisu. Nie mamy jeszcze certyfikatu Authenticode (około 400 €/rok). Każda niepodpisana aplikacja indie dostaje za to po głowie u skanerów ML.
• Mała liczba pobrań. Kaption jest w otwartej becie. Telemetria reputacji nie widziała jeszcze tego hasha na tylu czystych maszynach, żeby oznaczyć go jako „na pewno bezpieczny". Każdy nowy build zeruje ten licznik.
• Instalator z zagnieżdżonymi plikami wykonywalnymi. Nasz auto-updater (Velopack) pakuje aplikację jako skompresowaną paczkę w Setup.exe i rozpakowuje ją przy pierwszym uruchomieniu. Strukturalnie wygląda to jak dropper, nawet jeśli to tylko instalator.

Realny sygnał to wiersz VirusTotal: Microsoft Defender i około 70 innych silników oznacza plik jako czysty. Certyfikat do podpisu kodu planujemy kupić na wyjście z bety — zwykle po nim znikają też resztki flag z ML.