Обнаружен вирус при скачивании в Chrome и Яндекс Браузере

Столкнулся с неприятной ситуацией на Windows 10: Chrome и Яндекс Браузер не скачивали файлы и сообщали «Обнаружен вирус». Под блокировку попадали загрузки с Mail.ru и Сбера — даже PDF с пользовательским соглашением. Расскажу, что проверил и какое изменение позволило скачать файл.

Важное ограничение: ниже описан временный диагностический обход одного из этапов антивирусной проверки, а не способ сделать опасный файл безопасным. Точную причину сбоя я не установил. Повторять тест стоит только с ожидаемым документом из проверенного источника, сохранив исходные настройки и вернув их после проверки.

«Обнаружен вирус» при скачивании разных файлов

Сайты открывались, интернет работал, но загрузки завершались блокировкой. Ошибка повторялась и в Яндекс Браузере, и в Google Chrome. Не получалось скачать даже общедоступное пользовательское соглашение из Облака Mail.ru.

Я рассматривал версию о санкционных ограничениях: проблема была заметна на российских сервисах. Однако сообщения производителя или поддержки, которое связывало бы эту блокировку с санкциями, у меня нет. Поэтому здесь фиксирую симптом и результат проверки, а не выдаю эту версию за установленную причину.

Что я проверил до изменения реестра

Проверил настройки безопасности Яндекс Браузера, состояние антивирусов и доступные журналы. Затем проверил сертификат страницы Облака Mail.ru и установил недостающий в системном хранилище сертификат Минцифры. Отдельно повторил загрузку после удаления Касперского и перезагрузки компьютера.

Ни одно из этих действий не восстановило скачивание. Поэтому удаление антивируса или установку сертификата не предлагаю как решение этой ошибки. Результат появился только после изменения ScanWithAntiVirus.

Перед таким тестом я разделяю две ситуации:

• Блокируется один конкретный файл, а антивирус сообщает название угрозы. Здесь сначала нужно разобраться с обнаружением, а не отключать проверку ради открытия файла.
• Блокируются разные ожидаемые документы в нескольких браузерах. Тогда помимо настроек браузера имеет смысл проверить общий механизм обработки вложений Windows.

Расширение .pdf и знакомое название сайта сами по себе не гарантируют безопасность файла. Массовая блокировка — повод для диагностики, а не основание игнорировать все предупреждения.

Что меняет ScanWithAntiVirus

В Windows есть диспетчер вложений — Attachment Manager. Его политика «Уведомлять антивирусные программы при открытии вложений» управляет дополнительным обращением к зарегистрированным антивирусам. Если эта политика включена, сбой антивируса на данном этапе может приводить к блокировке вложения.

Параметр реестра называется ScanWithAntiVirus. В шаблоне политики AttachmentManager.admx значение 3 соответствует включению дополнительного вызова, а 1 — отключению. Это не общий выключатель Microsoft Defender, брандмауэра или защиты браузера, но один этап защиты перестаёт выполняться.

Официальная политика относится к настройкам пользователя. В моём тесте изменены две ветки реестра одновременно — HKCU и HKLM. По такому результату нельзя доказать, что требовалось менять обе. Изменение HKLM ниже привожу как часть выполненного теста, а не как обязательный шаг для всех компьютеров.

Как сохранить исходные настройки

Команды относятся к компьютеру, на котором возникает ошибка. На рабочем компьютере с централизованным управлением такие изменения нужно согласовать с администратором: они не должны обходить политику организации.

Для описанного теста использую Windows PowerShell с правами администратора. Если при запуске вводятся данные другой учётной записи, HKCU будет относиться к её профилю, а не к пользователю с проблемой. В этом случае не выполняйте команды для HKCU вслепую — профиль должен проверить администратор.

1. Сначала смотрю оба исходных значения и сохраняю вывод. Если раздел или параметр не найден, записываю именно отсутствие, а не условный «ноль».

reg.exe query "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments" /v ScanWithAntiVirus
reg.exe query "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments" /v ScanWithAntiVirus

0x3 означает 3, 0x1 — 1. В моём случае в HKLM стояло 3, а в HKCU параметра не было.

2. Сохраняю существующие разделы в отдельную папку. Этот блок только экспортирует настройки — он не изменяет значения реестра.

$backupDir = Join-Path $env:USERPROFILE (
    "AttachmentManager-backup-" + (Get-Date -Format "yyyyMMdd-HHmmss")
)
New-Item -ItemType Directory -Path $backupDir -ErrorAction Stop | Out-Null

foreach ($hive in @("HKCU", "HKLM")) {
    $subkey = "Software\Microsoft\Windows\CurrentVersion\Policies\Attachments"
    $psPath = "${hive}:\$subkey"
    if (Test-Path $psPath) {
        reg.exe export "$hive\$subkey" "$backupDir\Attachments-$hive.reg"
        if ($LASTEXITCODE -ne 0) {
            throw "Ошибка экспорта $hive. Изменения не выполняйте."
        }
    }
}
Write-Host "Резервные копии: $backupDir"

Если экспорт завершился ошибкой, сначала нужно разобраться с ней. Сохранённые файлы .reg и запись об отсутствующих параметрах понадобятся для отката.

Какие команды помогли скачать файл

В выполненном тесте я задал ScanWithAntiVirus = 1 в двух ветках. Это временно отключило дополнительный вызов антивируса. Не применяйте такой обход к файлу с подтверждённой угрозой и не оставляйте настройку как постоянное «исправление».

reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments" /v ScanWithAntiVirus /t REG_DWORD /d 1 /f
reg.exe add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments" /v ScanWithAntiVirus /t REG_DWORD /d 1 /f

Команды создают или меняют только указанный параметр. Тип REG_DWORD используется и на 64-битной Windows. Каждая команда должна завершиться сообщением об успешном выполнении; при ошибке не следует считать настройку применённой.

1. Сохраните незавершённую работу в браузере, полностью закройте его и откройте заново.
2. Повторите скачивание того же ожидаемого документа из проверенного источника. Не запускайте подозрительный установщик ради проверки.
3. Повторите команды reg.exe query из предыдущего раздела: в изменённых ветках должно быть REG_DWORD 0x1.
4. Запишите результат и верните исходные значения по разделу об откате ниже.

Если настройка не применилась после закрытия браузера, можно сохранить работу, выйти из учётной записи Windows и войти снова. Если значение самопроизвольно возвращается, проверьте с администратором групповую политику и управляющее ПО. Постоянно переписывать параметр в ответ на применение политики не нужно.

Какой результат я получил

После изменения параметра повторная загрузка прошла: файл скачался. При этом после удаления Касперского Microsoft Defender работал в обычном режиме, а поля AntivirusEnabled и RealTimeProtectionEnabled были равны True. После изменения ScanWithAntiVirus они остались включёнными.

Если на компьютере используется Defender, его состояние можно посмотреть отдельно:

Get-MpComputerStatus |
    Select-Object AMRunningMode, AntivirusEnabled, RealTimeProtectionEnabled

Эта команда проверяет состояние Defender, но не доказывает безопасность скачанного файла и не проверяет все другие средства защиты. Для стороннего антивируса нужно смотреть его собственный статус и журнал.

Результат указывает на связь блокировки с этапом проверки вложений, но не устанавливает конкретный неисправный компонент. Я не получил доказательств, что виноват определённый антивирус, браузер, сертификат или санкционные ограничения.

Как отменить изменение ScanWithAntiVirus

После диагностического теста нужно вернуть именно исходное состояние. Если параметра раньше не было, удаляют только созданное значение. Если оно существовало, восстанавливают записанное число. Не удаляйте весь раздел Attachments: в нём могут быть другие настройки.

Для исходного состояния моего компьютера — отсутствие параметра в HKCU и значение 3 в HKLM — команды отката такие:

reg.exe delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments" /v ScanWithAntiVirus /f
reg.exe add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments" /v ScanWithAntiVirus /t REG_DWORD /d 3 /f

Если у вас были другие исходные значения, эти две команды копировать нельзя: восстановите свои. Импорт резервной копии .reg добавляет и перезаписывает сохранённые значения, но не удаляет новый параметр, которого в копии не было.

После отката проверяю значения через reg.exe query и снова перезапускаю браузер. Если блокировка возвращается, этот результат полезен для дальнейшей диагностики интеграции антивируса с Windows. Не нужно ради загрузки отключать брандмауэр, проверку HTTPS, обновления Windows или добавлять всю папку «Загрузки» в исключения.

В этой ситуации я нашёл рабочий временный обход, а не окончательно устранил причину. Сохранить исходные значения оказалось не менее важно, чем найти параметр, после изменения которого файл наконец скачался.