Windows signale NimbusBackup ?
C'est un faux positif.

1. Le profil des binaires Go paraît atypique

Go produit des exécutables volumineux, statiquement liés, sans DLL externes et avec leur propre runtime. Les classifieurs antivirus à base de machine learning sont entraînés sur des binaires « classiques » (MSVC, liés dynamiquement) — un binaire Go ressort donc comme anormal. Et comme de nombreux malwares modernes sont écrits en Go, les éditeurs pondèrent négativement ce profil.

2. Stripping + PIE = forte entropie

Les options de build -s -w retirent les symboles et -buildmode=pie randomise l'adressage. Le binaire ressemble alors à du code packé ou obfusqué — un signal classique de malware, alors qu'il s'agit ici de bonnes pratiques de compilation.

3. Wails charge la WebView2 en mémoire

Le démarrage charge un loader (go-winloader) pour initialiser le moteur de rendu WebView2. Ce chargement de DLL en mémoire est une technique aussi employée par certains malwares : l'heuristique se déclenche, alors que c'est le fonctionnement normal de Wails.

4. Un outil de sauvegarde « ressemble » à un ransomware

Pris isolément chaque point est légitime, mais ensemble ils dessinent statistiquement le profil d'un rançongiciel — exactement ce que la détection comportementale (familles génériques Wacatac / Sabsik) cible :

• • demande de privilèges administrateur (UAC) ;
• • création de clichés VSS ;
• • lecture récursive de disques entiers ;
• • compression + chiffrement des données ;
• • upload réseau (TLS) vers un serveur distant ;
• • installation d'un service LocalSystem.

5. Réputation nulle + re-flag rétroactif

Un binaire récent et non signé démarre avec une réputation SmartScreen/Defender de zéro. Et comme les définitions se mettent à jour en continu, un fichier propre hier peut être signalé aujourd'hui sans aucun changement de code — d'où le caractère intermittent de l'alerte.