Falsos positivos no VirusTotal e no AbuseIPDB: como interpretar os resultados

Você consultou o IP 8.8.8.8, o DNS público do Google, e o VirusTotal mostrou uma detecção, algo como 1/92. Isso quer dizer que o Google está atacando você? Claro que não. Esse é um exemplo clássico de falso positivo, e entender por que ele acontece é essencial para usar bem as ferramentas de reputação.

O que é um falso positivo

Um falso positivo é quando um sistema de segurança classifica como malicioso algo que é legítimo. O oposto, o falso negativo, é quando algo malicioso passa como limpo. Nenhuma base de reputação é perfeita: todas erram nas duas direções, e o trabalho de quem analisa é juntar evidências suficientes para chegar a uma conclusão.

Por que o VirusTotal mostra detecções em itens legítimos

O VirusTotal não tem uma opinião própria: ele reúne o veredito de dezenas de mecanismos independentes, como antivírus, listas de bloqueio e serviços de reputação. Cada um tem critérios diferentes. Algumas causas comuns de detecções isoladas:

• Infraestrutura compartilhada. IPs de DNS públicos, CDNs e nuvens atendem milhões de clientes. Se um deles hospedou algo malicioso por algumas horas, uma lista pode ter marcado o IP inteiro.
• Listas desatualizadas. Um IP pode ter sido malicioso no passado e ter mudado de dono.
• Detecções genéricas em arquivos. Programas legítimos, mas pouco comuns, como ferramentas de administração remota, recebem rótulos como PUA, Riskware ou HackTool.
• Heurísticas agressivas. Alguns mecanismos marcam qualquer arquivo compactado com senha ou qualquer script ofuscado.

Por que o AbuseIPDB pode exagerar (ou não)

No AbuseIPDB, o score vem de denúncias feitas por pessoas e por sistemas automáticos. Isso tem pontos fortes e fracos:

• Um IP de um scanner de pesquisa legítimo (que mapeia a internet para fins acadêmicos ou de segurança) pode ter centenas de denúncias, embora não seja um ataque.
• Um IP residencial dinâmico pode herdar denúncias de quem usou aquele endereço antes.
• Por outro lado, um score alto com denúncias recentes, de muitas fontes diferentes e em categorias como força bruta é um dos sinais mais confiáveis de atividade maliciosa contínua.

Como diferenciar um alerta real de um falso positivo

Use estes critérios, do mais ao menos importante:

1. Concordância entre bases. Detecção no VirusTotal e score alto no AbuseIPDB pesam muito mais do que um alerta isolado em uma só base.
2. Quantidade e qualidade das detecções. 1/94 é diferente de 12/94. Veja também quem detectou: mecanismos conhecidos e o nome da ameaça ajudam.
3. Data. Atividade nos últimos dias é relevante; uma denúncia de um ano atrás, bem menos.
4. Tipo de rede. Grandes provedores legítimos (Google, Microsoft, Cloudflare, Akamai) quase sempre geram falsos positivos quando há poucas detecções.
5. Comportamento observado. O que o IP ou o arquivo realmente fez no seu ambiente é a evidência mais forte de todas.

Uma regra prática

Na tabela das ferramentas deste site, qualquer detecção acima de zero aparece como “Atenção”. Isso é proposital: é melhor olhar duas vezes do que deixar passar. Mas trate “Atenção” como “investigue”, não como “bloqueie”.

Situação	Interpretação provável
1 ou 2 detecções, IP de grande provedor, sem denúncias recentes	Falso positivo
Score AbuseIPDB alto, denúncias de hoje, categoria força bruta	Ameaça real e ativa
Muitas detecções no VirusTotal e no MetaDefender para um hash	Arquivo malicioso
Detecções genéricas (PUA, Riskware) num instalador conhecido	Provável falso positivo; confira a assinatura digital
Sem registros em nenhuma base, mas comportamento suspeito	Não descarte: pode ser ameaça nova

Quando o falso negativo é o problema

Ataques direcionados usam IPs, domínios e arquivos novos, que nenhuma base conhece ainda. Por isso, um resultado limpo nunca prova que algo é seguro. Se o comportamento observado é suspeito, continue investigando, mesmo com reputação zerada.

Resumo

Detecções isoladas em infraestrutura conhecida costumam ser falsos positivos; scores altos, recentes e confirmados por mais de uma base costumam ser ameaças reais. Combine sempre a reputação com o contexto e documente o raciocínio. Para colocar isso em prática, veja o guia Como investigar um IP suspeito.