Defender vuelve a marcar el agente de Datto RMM como ransomware
El agente de Datto RMM dispara otra vez un falso positivo de Defender tras la actualización de anoche: el antivirus lo marca como ransomware Rapidstop. Es la cuarta vez.
Los clientes de Datto RMM están viendo cómo Windows Defender marca el agente del producto como ransomware Rapidstop después de la actualización que Datto desplegó anoche. Es la cuarta vez que sucede, según el reporte, y la anterior fue el 29 de junio.
La consecuencia es doble y bastante incómoda. Por un lado, a los usuarios les salta un aviso de detección de ransomware y empiezan a llamar a soporte. Por otro, los agentes se caen y desaparecen del tenant. En esta ronda, algunos se pueden sacar de cuarentena y vuelven a reportar; otros hay que reinstalarlos desde cero, según cuenta el administrador que lo ha publicado en r/sysadmin.
Un falso positivo que arrastra todo el parque
Un agente de RMM en cuarentena deja de hacer su trabajo: no recoge inventario, no aplica políticas, no reporta estado. Si el tenant gestiona cientos o miles de equipos, la tarea de recuperarlos uno a uno no es menor, y la diferencia entre poder sacarlos de cuarentena y tener que reinstalar cambia por completo la carga de trabajo.
El patrón se repite. La actualización nocturna cambia el binario o el empaquetado del agente y la heurística de Defender acaba clasificándolo como Rapidstop, una familia de ransomware. La firma del ejecutable cambia con cada compilación y el motor de detección vuelve a caer en la trampa.
La entrada original es un post de foro, con el tono de cabreo habitual. No hay comunicado de Datto ni de Microsoft, ni confirmación del alcance, ni número de versión afectada ni identificador de las definiciones de Defender que lo provocan. Lo que hay es un aviso entre administradores: si las notificaciones del tenant se han vuelto locas de repente, este es el motivo.
Cuatro falsos positivos con el mismo agente apuntan a que el proceso de publicación de Datto no está cazando el problema antes de que llegue al parque instalado. Queda por ver si esta vez cambia algo en el flujo de compilación o si toca esperar al siguiente lunes.
