Windows 11 Bloqueia Aplicativos Confiáveis? Veja Como Resolver

Introdução: quando o Windows 11 impede a execução de programas aparentemente confiáveis

Você tenta abrir um programa que utiliza há meses, mas nada acontece. Nenhuma mensagem aparece, nenhuma janela abre e o aplicativo simplesmente deixa de funcionar.

Em outros casos, o Windows 11 apresenta avisos como:

• “Este aplicativo foi bloqueado para sua proteção.”
• “O administrador bloqueou a execução deste aplicativo.”
• “O Windows protegeu o computador.”
• “Este aplicativo não pode ser executado no seu computador.”
• “Sua organização usou o Controle Inteligente de Aplicativos para bloquear este aplicativo.”

Essas mensagens podem ter causas diferentes. Algumas envolvem políticas de segurança, outras estão relacionadas à reputação do arquivo, assinaturas digitais, permissões ou incompatibilidades.

O problema também pode aparecer após uma atualização do Windows, instalação de um driver, migração de computador ou alteração de políticas corporativas.

O detalhe mais importante é que um aplicativo conhecido não é necessariamente um aplicativo seguro, assim como um programa bloqueado não é necessariamente malicioso.

Neste guia técnico da VMIA, você aprenderá a identificar a origem do bloqueio antes de alterar qualquer configuração de segurança.

1. Por que o Windows 11 bloqueia aplicativos?

O Windows 11 utiliza diferentes mecanismos para proteger o sistema contra programas maliciosos, arquivos desconhecidos e alterações não autorizadas.

Entre os principais estão:

Recurso	Função principal
Microsoft Defender Antivirus	Detectar malware e outras ameaças
Microsoft Defender SmartScreen	Avaliar reputação de aplicativos e downloads
Smart App Control	Bloquear aplicativos não confiáveis ou potencialmente perigosos
App Control for Business (WDAC)	Aplicar políticas de controle de aplicativos
AppLocker	Restringir execução conforme regras administrativas
User Account Control (UAC)	Controlar solicitações de elevação de privilégios
Code Integrity	Verificar requisitos de integridade e assinatura de código

Essas tecnologias podem atuar em diferentes etapas da execução de um programa.

Por exemplo, um arquivo pode passar pela verificação do antivírus e ainda assim ser impedido de executar por uma política de controle de aplicativos.

Isso acontece porque não detectar malware e autorizar a execução são decisões diferentes.

1.1. O bloqueio pode ocorrer sem uma mensagem visível

Nem todos os bloqueios apresentam uma janela de aviso.

Dependendo da tecnologia envolvida, o usuário pode observar:

• O cursor indica carregamento e depois volta ao normal.
• O processo aparece rapidamente no Gerenciador de Tarefas e desaparece.
• O programa abre apenas em determinadas contas.
• Um instalador inicia, mas um componente secundário não executa.
• O aplicativo funciona em outro computador com a mesma versão do Windows.
• O programa deixa de funcionar após uma alteração de política.

Entretanto, esses sintomas também podem surgir por DLLs ausentes, corrupção de arquivos, falhas de inicialização ou problemas de compatibilidade.

Portanto, não é correto atribuir automaticamente todos esses comportamentos ao Microsoft Defender.

2. Smart App Control: o Controle Inteligente de Aplicativos

O Smart App Control, também chamado de Controle Inteligente de Aplicativos, é um mecanismo de proteção disponível em instalações elegíveis do Windows 11.

Ele utiliza sinais de confiança, incluindo reputação e assinatura de código, para ajudar a impedir a execução de aplicativos considerados não confiáveis.

Seu objetivo é reduzir a exposição a softwares maliciosos e potencialmente indesejados.

2.1. Como verificar o Smart App Control

No Windows 11:

1. Abra Segurança do Windows.
2. Entre em Controle de aplicativos e navegador.
3. Procure Configurações do Controle Inteligente de Aplicativos.
4. Verifique o estado apresentado.

Os estados podem incluir:

Estado	Significado
Ativado	O recurso aplica proteção contra aplicativos não confiáveis
Avaliação	O Windows avalia a adequação do recurso ao dispositivo
Desativado	O Smart App Control não está aplicando bloqueios

A disponibilidade e os estados dependem da instalação e das condições de elegibilidade.

2.2. Por que programas legítimos podem ser bloqueados?

Imagine um pequeno desenvolvedor que criou um programa interno para uma empresa.

O aplicativo pode funcionar perfeitamente e não conter código malicioso.

Entretanto, se não possuir sinais suficientes de confiança, o Smart App Control poderá impedir sua execução.

Isso pode acontecer com:

• Ferramentas desenvolvidas internamente.
• Programas antigos distribuídos por pequenos fornecedores.
• Utilitários pouco conhecidos.
• Aplicativos sem assinatura digital adequada.
• Executáveis modificados depois da assinatura.
• Componentes auxiliares utilizados por instaladores.

O bloqueio não comprova que o arquivo contém malware.

Também não comprova que o arquivo é seguro.

A decisão exige investigação.

2.3. Cuidado antes de desativar o Smart App Control

Desativar o recurso apenas para executar um programa desconhecido não é uma boa primeira medida.

Além de reduzir a proteção, a reativação do Smart App Control pode exigir redefinição ou reinstalação do Windows, conforme a versão e o estado do sistema.

O recurso não oferece uma lista convencional de exceções individuais para liberar aplicativos específicos.

A abordagem recomendada é identificar a causa, verificar a procedência do programa e procurar uma versão confiável e corretamente assinada.

3. Microsoft Defender SmartScreen: bloqueio por reputação

O Microsoft Defender SmartScreen é frequentemente confundido com o Smart App Control.

Embora ambos ajudem a proteger o computador, seus mecanismos não são idênticos.

O SmartScreen utiliza verificações de reputação e outros sinais de segurança para alertar sobre downloads, aplicativos e conteúdos potencialmente perigosos.

Um dos avisos mais conhecidos é:

O Windows protegeu o computador.

Esse aviso pode aparecer quando o usuário tenta executar um aplicativo baixado da Internet.

3.1. Por que um programa novo pode apresentar alerta?

A reputação de um arquivo depende de diferentes sinais.

Um executável recém-publicado pode não possuir histórico suficiente para ser reconhecido como confiável.

Outros fatores incluem:

• Origem do download.
• Histórico de reputação.
• Assinatura digital.
• Informações sobre o editor.
• Características do arquivo.
• Sinais associados a ameaças conhecidas.

É importante destacar que a presença de uma assinatura digital não garante que um programa seja seguro.

Da mesma forma, a ausência de assinatura não comprova que ele seja malicioso.

3.2. Como identificar se o arquivo veio da Internet

O Windows utiliza informações de zona de segurança, incluindo o Mark of the Web, em determinados arquivos obtidos da Internet.

Em volumes NTFS, essas informações podem aparecer no fluxo alternativo Zone.Identifier.

Um técnico pode verificar a existência desse fluxo usando PowerShell:

Get-Item -LiteralPath "C:\Caminho\Programa.exe" -Stream * -ErrorAction SilentlyContinue

Se o arquivo possuir um fluxo Zone.Identifier, ele poderá aparecer na listagem.

Para examinar o conteúdo:

Get-Content -LiteralPath "C:\Caminho\Programa.exe" -Stream Zone.Identifier

Um exemplo possível é:

[ZoneTransfer]
ZoneId=3

O valor ZoneId=3 normalmente identifica a zona da Internet.

Contudo, nem todos os arquivos baixados possuem esse fluxo, e sua presença não significa necessariamente que o SmartScreen bloqueará a execução.

Atenção: não remova informações de zona apenas para contornar um aviso de segurança. Primeiro confirme a procedência do arquivo.

4. Assinatura digital: como verificar a autenticidade do executável

A assinatura digital permite verificar informações sobre o editor e a integridade do arquivo assinado.

Quando um executável possui uma assinatura Authenticode válida, o Windows pode verificar se o conteúdo protegido pela assinatura foi alterado.

Entretanto, uma assinatura válida não comprova que o software seja livre de comportamentos maliciosos.

4.1. Verificação pelo Explorador de Arquivos

Clique com o botão direito no executável e abra:

Propriedades → Assinaturas Digitais

Quando essa guia estiver disponível, selecione uma assinatura e examine os detalhes.

Verifique especialmente:

• Nome do assinante.
• Estado da assinatura.
• Informações do certificado.
• Cadeia de certificação.
• Validade e carimbo de tempo, quando aplicável.

A ausência da guia não significa automaticamente que o arquivo esteja infectado.

4.2. Verificação com PowerShell

Execute:

Get-AuthenticodeSignature -FilePath "C:\Caminho\Programa.exe" | Format-List *

O comando pode retornar propriedades como:

Status, StatusMessage, SignerCertificate e TimeStamperCertificate.

Alguns estados importantes:

Status	Interpretação
Valid	Assinatura considerada válida pela verificação
NotSigned	Arquivo sem assinatura Authenticode reconhecida
HashMismatch	Conteúdo não corresponde ao hash da assinatura
NotTrusted	Assinatura não considerada confiável
UnknownError	A verificação encontrou uma condição não classificada

Esses resultados devem ser interpretados junto com os certificados, políticas e eventos do sistema.

4.3. Calcule o hash SHA-256 do arquivo

O hash permite identificar uma versão específica de um executável e compará-la com uma referência confiável do fabricante.

Get-FileHash -Path "C:\Caminho\Programa.exe" -Algorithm SHA256

O resultado apresenta uma sequência hexadecimal.

Se o fabricante publicar um SHA-256 oficial, compare os valores.

Hashes diferentes indicam que os conteúdos não são idênticos. Hashes iguais a uma referência autêntica ajudam a confirmar a integridade da cópia, mas não substituem uma avaliação de segurança.

5. App Control for Business (WDAC): bloqueios por políticas do Windows

O App Control for Business, frequentemente chamado de WDAC, permite controlar quais códigos podem ser executados em dispositivos Windows.

É especialmente relevante em ambientes corporativos, mas determinadas configurações de controle de aplicativos também podem existir fora deles.

Uma política pode utilizar critérios como:

• Assinaturas digitais.
• Editores autorizados.
• Regras baseadas em arquivos.
• Identificadores e atributos de aplicativos.
• Políticas de integridade de código.
• Regras específicas de implantação.

Um programa pode ser bloqueado mesmo quando não contém malware, simplesmente porque não atende aos critérios definidos.

5.1. Onde encontrar os eventos de Code Integrity

Abra o Visualizador de Eventos:

eventvwr.msc

Navegue até:

Logs de Aplicativos e Serviços → Microsoft → Windows → CodeIntegrity → Operational

Esse canal pode registrar informações relacionadas à integridade de código e à aplicação de políticas.

Alguns IDs úteis incluem:

Evento	Utilidade
3076	Evento relacionado a bloqueio em modo de auditoria do App Control
3077	Evento relacionado a bloqueio aplicado pelo App Control
3089	Informações de assinatura associadas à avaliação de código

A interpretação depende do contexto, da política e da versão do Windows.

Um evento isolado não é suficiente para concluir que determinado aplicativo foi bloqueado.

5.2. Consultar eventos com PowerShell

O técnico pode utilizar:

Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-CodeIntegrity/Operational'
    Id = 3076,3077,3089
    StartTime = (Get-Date).AddDays(-7)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated, Id, ProviderName, Message |
Format-List

Esse comando procura eventos específicos dos últimos sete dias.

Ele não modifica políticas, não desativa proteções e não altera a configuração do computador.

A investigação deve relacionar o horário da tentativa de execução com os eventos registrados.

5.3. Quando o evento 3077 merece atenção?

Imagine que um usuário tente abrir um aplicativo às 14h32.

O programa não aparece.

No Visualizador de Eventos, um evento 3077 é registrado no mesmo horário e identifica o executável.

Nesse cenário, existe uma evidência relevante de bloqueio por política de controle de aplicativos.

O próximo passo é verificar qual política está ativa e por que o arquivo não atende aos requisitos.

Em ambientes administrados, a correção deve ser feita por quem gerencia a política, sem contornar o controle de segurança.

6. AppLocker: outro mecanismo que pode impedir a execução

O AppLocker permite criar regras de execução para diferentes categorias de arquivos.

Entre elas estão:

• Executáveis.
• Scripts.
• Instaladores do Windows.
• Aplicativos empacotados.
• DLLs, quando as regras correspondentes estiverem configuradas.

Uma organização pode permitir a execução de programas instalados em locais autorizados e restringir aplicativos não aprovados.

O comportamento depende das regras e das condições de aplicação.

6.1. Onde consultar os eventos

No Visualizador de Eventos, procure:

Logs de Aplicativos e Serviços → Microsoft → Windows → AppLocker

Os canais disponíveis podem incluir:

EXE and DLL

MSI and Script

Packaged app-Execution

Packaged app-Deployment

Entre os eventos relevantes para executáveis estão:

Evento	Significado
8002	Executável autorizado
8003	Executável que seria bloqueado em modo de auditoria
8004	Executável bloqueado por regra aplicada

Os IDs variam conforme a categoria de arquivo e o tipo de evento.

6.2. Consulta segura

Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-AppLocker/EXE and DLL'
    Id = 8003,8004
    StartTime = (Get-Date).AddDays(-7)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated, Id, Message |
Format-List

Se aparecer um evento 8004 correspondente ao executável e ao horário do problema, investigue as regras efetivas do AppLocker.

Não altere políticas corporativas sem autorização.

7. Diagnóstico inicial: qual mecanismo está bloqueando o aplicativo?

Antes de tentar qualquer correção, utilize a tabela abaixo.

Sintoma observado	Possível causa	Primeira verificação
“O Windows protegeu o computador”	SmartScreen	Origem, reputação e assinatura
Aviso explícito do Controle Inteligente	Smart App Control	Estado do recurso
Programa bloqueado por administrador	AppLocker, WDAC ou outra política	Logs e políticas efetivas
Aplicativo fecha sem mensagem	Falha de aplicativo ou bloqueio	Eventos de aplicativo e Code Integrity
Executável funciona em outro PC	Diferença de políticas ou ambiente	Comparação de configurações
Programa parou após atualização	Alteração de software, política ou compatibilidade	Histórico e eventos
Apenas uma conta apresenta falha	Permissões, perfil ou regras por usuário	Logs e permissões

Essa classificação evita procedimentos desnecessários.

Por exemplo, reinstalar o aplicativo repetidamente não resolve uma política corporativa que impede sua execução.

Da mesma forma, desativar o Microsoft Defender Antivirus pode não ter qualquer efeito sobre um bloqueio causado por AppLocker.

8. O que não fazer ao encontrar um aplicativo bloqueado

Algumas soluções divulgadas na Internet podem reduzir significativamente a segurança do Windows.

Evite:

1. Desativar permanentemente o Microsoft Defender.
2. Desabilitar verificações de integridade de código para executar programas desconhecidos.
3. Remover políticas corporativas sem autorização.
4. Instalar certificados de origem desconhecida.
5. Executar comandos encontrados na Internet sem compreender seus efeitos.
6. Ignorar avisos de segurança sem verificar a procedência do arquivo.
7. Alterar permissões de pastas do sistema indiscriminadamente.

O diagnóstico correto deve preservar os mecanismos de proteção sempre que possível.

9. Primeira conclusão técnica

Quando o Windows 11 bloqueia um aplicativo aparentemente confiável, o problema pode envolver diferentes camadas de proteção.

O SmartScreen analisa sinais de reputação. O Smart App Control utiliza mecanismos de confiança para ajudar a decidir quais aplicativos podem executar. O App Control for Business e o AppLocker podem impor políticas administrativas.

Além disso, assinaturas digitais, integridade de código, permissões e incompatibilidades podem interferir na execução.

O caminho mais seguro é descobrir exatamente qual mecanismo está envolvido antes de tentar corrigir o problema.

Diagnóstico avançado | Novembro de 2026

Na primeira parte, explicamos como o Windows 11 utiliza Smart App Control, Microsoft Defender SmartScreen, App Control for Business (WDAC), AppLocker e Code Integrity para controlar a execução de aplicativos.

Agora vamos aprofundar a investigação.

Imagine a seguinte situação: um programa funcionava normalmente até ontem. Hoje, o usuário clica duas vezes no executável, mas nenhuma janela aparece. O aplicativo não apresenta mensagem de erro e reinstalá-lo não resolve.

O Gerenciador de Tarefas pode mostrar o processo por uma fração de segundo, mas ele desaparece imediatamente.

Esse comportamento pode indicar um bloqueio de segurança, mas também pode resultar de falhas de dependências, permissões, inicialização ou integridade do próprio aplicativo.

O objetivo desta segunda parte é descobrir o que realmente aconteceu, utilizando evidências técnicas antes de modificar o sistema.

10. Como investigar aplicativos bloqueados no Windows 11 sem desativar a segurança

O diagnóstico profissional deve responder a cinco perguntas:

1. O Windows chegou a criar o processo do aplicativo?
2. Algum mecanismo de segurança impediu sua execução?
3. Existe um evento registrado no mesmo horário da tentativa?
4. O bloqueio afeta somente aquele executável ou outros componentes?
5. A causa está relacionada ao arquivo, à conta do usuário, à política de segurança ou ao ambiente do Windows?

Essas respostas ajudam a diferenciar um bloqueio real de uma falha comum de software.

10.1. Estabeleça uma linha do tempo

Antes de executar comandos, registre:

• Nome e caminho completo do executável.
• Horário exato da tentativa de abertura.
• Conta do Windows utilizada.
• Origem do instalador.
• Versão do programa.
• Data aproximada em que o problema começou.
• Atualizações ou mudanças recentes no computador.

Por exemplo:

Informação	Exemplo
Aplicativo	SistemaFinanceiro.exe
Caminho	C:\Program Files\SistemaFinanceiro\SistemaFinanceiro.exe
Horário da falha	14h32
Sintoma	Não abre nenhuma janela
Funcionava antes?	Sim
Última alteração	Atualização do aplicativo
Tipo de conta	Usuário padrão

Esse levantamento permite correlacionar a tentativa de execução com os eventos do Windows.

Um erro registrado às 14h32 merece mais atenção do que um evento semelhante ocorrido vários dias antes.

11. Code Integrity: como identificar bloqueios do WDAC

O Code Integrity participa da validação de requisitos de integridade e confiança de código no Windows.

Quando uma política do App Control for Business impede a execução de determinado componente, o sistema pode registrar eventos no canal operacional de Code Integrity.

Abra o Visualizador de Eventos:

Win + R → eventvwr.msc

Navegue até:

Logs de Aplicativos e Serviços → Microsoft → Windows → CodeIntegrity → Operational

Procure eventos próximos ao horário da falha.

11.1. Entendendo os eventos 3076, 3077 e 3089

Evento	Significado técnico	Interpretação
3076	Violação que seria bloqueada em modo de auditoria	A política identificou uma condição, mas esse evento não representa, por si só, bloqueio efetivo
3077	Bloqueio aplicado por política App Control	Forte evidência de bloqueio quando corresponde ao arquivo e ao horário
3089	Informações de assinatura relacionadas à avaliação	Auxilia a entender os dados de assinatura utilizados

É importante diferenciar o modo de auditoria do modo de imposição.

No modo de auditoria, o sistema registra violações potenciais sem necessariamente impedir a execução.

No modo de imposição, a política pode efetivamente bloquear o código que não atende aos critérios.

11.2. Consultando os eventos com PowerShell

Abra o PowerShell e execute:

$inicio = (Get-Date).AddDays(-3)

Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-CodeIntegrity/Operational'
    Id = 3076,3077,3089
    StartTime = $inicio
} -ErrorAction SilentlyContinue |
Sort-Object TimeCreated -Descending |
Select-Object TimeCreated, Id, LevelDisplayName, Message |
Format-List

O comando consulta os eventos dos últimos três dias.

Ele não altera configurações de segurança.

Para localizar eventos relacionados ao executável:

$programa = "SistemaFinanceiro.exe"

Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-CodeIntegrity/Operational'
    Id = 3076,3077,3089
    StartTime = (Get-Date).AddDays(-3)
} -ErrorAction SilentlyContinue |
Where-Object {
    $_.Message -like "*$programa*"
} |
Select-Object TimeCreated, Id, Message |
Format-List

A busca por texto é útil para uma triagem, mas não é definitiva. Algumas informações podem aparecer nos dados estruturados do evento, e não na mensagem formatada.

11.3. Examine os dados estruturados do evento

Para uma investigação mais aprofundada, selecione um evento e abra:

Detalhes → Exibição XML

O XML pode conter informações que ajudam a identificar o arquivo e a avaliação realizada.

No PowerShell:

$evento = Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-CodeIntegrity/Operational'
    Id = 3077
} -MaxEvents 1 -ErrorAction SilentlyContinue

if ($evento) {
    $evento.ToXml()
}

Dependendo do evento e da versão do Windows, os dados podem incluir identificadores de política, informações do arquivo e campos associados à assinatura.

Não presuma que todos os eventos possuem exatamente a mesma estrutura.

11.4. Como correlacionar o evento 3089

O evento 3089 pode fornecer informações adicionais sobre assinaturas avaliadas pelo Code Integrity.

Em investigações de App Control, determinados eventos podem compartilhar um identificador de correlação, como Correlation ActivityID.

Quando disponível, esse identificador ajuda a relacionar os eventos 3076 ou 3077 com informações de assinatura registradas separadamente.

Isso é importante porque um único arquivo pode apresentar múltiplas informações de assinatura ou cadeia de confiança.

Um evento 3089 isolado não comprova que o aplicativo foi bloqueado.

A interpretação exige correlação com os demais eventos e com o comportamento observado.

12. Como verificar as políticas App Control for Business presentes no computador

Em determinados ambientes, o Windows pode utilizar políticas de controle de aplicativos implantadas por ferramentas administrativas, gerenciamento corporativo ou mecanismos de segurança do próprio sistema.

O comando CiTool.exe, quando disponível na versão instalada do Windows, permite consultar informações sobre políticas de integridade de código.

Primeiro, verifique sua disponibilidade:

Get-Command CiTool.exe -ErrorAction SilentlyContinue

Se estiver disponível, consulte a ajuda:

CiTool.exe --help

Em versões compatíveis, é possível listar políticas utilizando:

CiTool.exe --list-policies

O resultado depende da versão do Windows e das políticas existentes.

O técnico deve verificar os identificadores, os estados e as informações disponíveis sobre as políticas.

A presença de uma política não significa automaticamente que ela causou o problema.

É necessário relacioná-la ao evento de bloqueio e ao arquivo envolvido.

12.1. Por que não remover políticas imediatamente?

Uma política pode ter sido aplicada por:

• Administração de TI.
• Microsoft Intune.
• Gerenciamento de dispositivos.
• Configurações de segurança da organização.
• Recursos de proteção do Windows.

Remover ou alterar uma política sem compreender sua origem pode causar falhas de conformidade e reduzir a proteção do computador.

Em dispositivos corporativos, qualquer mudança deve passar pelo administrador responsável.

13. AppLocker: diagnóstico de executáveis bloqueados por regras administrativas

O AppLocker permite controlar a execução de diferentes categorias de arquivos.

Uma regra pode considerar o editor, o caminho, o hash ou outras condições suportadas.

O aplicativo pode funcionar normalmente em uma conta e ser bloqueado em outra, dependendo das regras e dos grupos de segurança envolvidos.

13.1. Eventos 8003 e 8004

Abra:

Visualizador de Eventos → Logs de Aplicativos e Serviços → Microsoft → Windows → AppLocker → EXE and DLL

Os eventos mais relevantes incluem:

• 8003: o executável seria bloqueado caso a regra estivesse sendo imposta, mas foi avaliado em modo de auditoria.
• 8004: o executável foi bloqueado por uma regra aplicada.

Outras categorias, como scripts e aplicativos empacotados, possuem canais e eventos próprios.

13.2. Consultando bloqueios do AppLocker

Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-AppLocker/EXE and DLL'
    Id = 8003,8004
    StartTime = (Get-Date).AddDays(-7)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated, Id, Message |
Format-List

Se houver um evento 8004 correspondente ao aplicativo, examine a regra que provocou o bloqueio.

13.3. Consultando políticas efetivas

Em sistemas compatíveis, o PowerShell disponibiliza cmdlets para consultar políticas do AppLocker.

Verifique:

Get-Command Get-AppLockerPolicy -ErrorAction SilentlyContinue

Para consultar a política efetiva:

Get-AppLockerPolicy -Effective -Xml

Esse comando retorna a política em formato XML.

A consulta não altera as regras.

Em ambientes com políticas de domínio, o resultado deve ser interpretado considerando a aplicação de políticas de grupo, o contexto do usuário e os serviços necessários ao AppLocker.

13.4. Testando a política para um arquivo

Quando o cmdlet estiver disponível, o administrador pode avaliar um executável em relação à política efetiva:

$politica = Get-AppLockerPolicy -Effective

Test-AppLockerPolicy `
    -PolicyObject $politica `
    -Path "C:\Program Files\SistemaFinanceiro\SistemaFinanceiro.exe" `
    -User "DOMINIO\usuario"

Substitua o caminho e a conta pelos dados reais.

O teste ajuda a compreender o resultado esperado para aquele usuário, mas não substitui a verificação dos eventos e das condições efetivas de aplicação.

14. Microsoft Defender: histórico de proteção e detecções

Nem todo aplicativo que desaparece ou deixa de executar foi bloqueado por WDAC ou AppLocker.

O Microsoft Defender Antivirus pode identificar uma ameaça e colocar arquivos em quarentena.

Em outros casos, recursos de proteção podem impedir determinadas ações do programa.

Para investigar, abra:

Segurança do Windows → Proteção contra vírus e ameaças → Histórico de proteção

Verifique se existem registros relacionados ao aplicativo.

Observe:

• Nome da detecção.
• Caminho do arquivo.
• Data e horário.
• Ação aplicada.
• Estado da ameaça.

14.1. Consultando detecções pelo PowerShell

Em sistemas com o Microsoft Defender Antivirus e seus cmdlets disponíveis:

Get-MpThreatDetection |
Select-Object InitialDetectionTime, ThreatID, ActionSuccess, Resources |
Format-List

O comando consulta informações de detecções registradas.

O resultado pode variar conforme a versão do Defender, a retenção de dados e as permissões do usuário.

Não restaure automaticamente um arquivo detectado como ameaça.

Primeiro, verifique a procedência, a assinatura e os detalhes da detecção.

14.2. Eventos do Defender Antivirus

No Visualizador de Eventos, procure:

Logs de Aplicativos e Serviços → Microsoft → Windows → Windows Defender → Operational

Alguns eventos úteis incluem:

Evento	Utilidade
1116	Detecção de malware ou software potencialmente indesejado
1117	Ação de proteção executada
1118	Falha em uma ação de proteção

A presença de um desses eventos exige análise do conteúdo registrado.

O evento 1116, por exemplo, não significa necessariamente que o aplicativo foi excluído.

14.3. Consulta dos eventos

Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-Windows Defender/Operational'
    Id = 1116,1117,1118
    StartTime = (Get-Date).AddDays(-7)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated, Id, Message |
Format-List

Compare o horário e o caminho do arquivo com a tentativa de execução.

15. SmartScreen e Smart App Control: por que os diagnósticos são diferentes?

O SmartScreen e o Smart App Control podem impedir ou alertar sobre a execução de aplicativos, mas não devem ser tratados como mecanismos idênticos.

O SmartScreen está associado a verificações de reputação, incluindo situações envolvendo arquivos obtidos da Internet.

O Smart App Control utiliza avaliações de confiança para impedir a execução de determinados aplicativos em sistemas elegíveis.

Uma mensagem explícita do Windows pode ajudar a identificar qual recurso atuou.

Entretanto, nem sempre existe um evento simples e universal que permita identificar todos os bloqueios do SmartScreen ou do Smart App Control.

Por isso, o diagnóstico deve combinar:

• Mensagem exibida ao usuário.
• Estado dos recursos de segurança.
• Histórico de proteção.
• Eventos de integridade de código, quando aplicáveis.
• Origem e assinatura do executável.
• Horário da tentativa.

15.1. Verificando o estado do Smart App Control

Abra:

Segurança do Windows → Controle de aplicativos e navegador → Configurações do Controle Inteligente de Aplicativos

Verifique se o recurso está ativado, em avaliação ou desativado.

Não desative o Smart App Control apenas como teste.

Dependendo das condições do sistema, sua reativação pode exigir uma redefinição ou reinstalação do Windows.

15.2. O que fazer quando um aplicativo legítimo é bloqueado?

Primeiro, confirme que o programa veio do desenvolvedor legítimo.

Depois:

1. Verifique se existe uma versão mais recente.
2. Confirme a assinatura digital.
3. Compare o hash com uma referência oficial, quando disponível.
4. Consulte os eventos relacionados ao bloqueio.
5. Entre em contato com o fornecedor para obter uma versão compatível e corretamente assinada.

Em ambientes gerenciados, encaminhe as evidências ao administrador responsável pela política.

Evite instalar versões modificadas ou desativar proteções para contornar o problema.

16. Process Monitor: identificando o que acontece antes de um aplicativo fechar

O Process Monitor, também conhecido como ProcMon, é uma ferramenta da Microsoft Sysinternals que registra atividades de processos, arquivos, Registro e outros eventos do sistema.

Ele é particularmente útil quando o aplicativo tenta iniciar, mas fecha sem apresentar uma mensagem.

Entretanto, existe uma limitação importante:

O Process Monitor não substitui os logs de Code Integrity, AppLocker ou Microsoft Defender.

Ele ajuda a investigar o comportamento do processo e suas dependências, mas nem todo bloqueio de segurança aparece como uma operação claramente identificável no ProcMon.

16.1. Preparação

Obtenha a ferramenta na página oficial:Microsoft Learn — Process Monitor

Execute-a com as permissões necessárias para a investigação.

Antes de iniciar a captura, feche aplicativos desnecessários para reduzir o volume de eventos.

16.2. Configurando filtros

No menu Filter, selecione Filter….

Adicione uma condição:

Process Name → is → SistemaFinanceiro.exe → Include

O filtro concentra a visualização no processo escolhido.

Entretanto, quando o problema envolve um instalador ou processo auxiliar, esse filtro pode ocultar eventos relevantes.

Nesses casos, investigue também os processos responsáveis por iniciar o aplicativo.

16.3. Capturando a tentativa de execução

1. Inicie a captura no ProcMon.
2. Tente abrir o aplicativo.
3. Aguarde alguns segundos.
4. Interrompa a captura.
5. Examine os eventos próximos ao horário da tentativa.

Procure resultados como:

Resultado	Possível significado
ACCESS DENIED	Acesso negado a um recurso
NAME NOT FOUND	Arquivo, chave ou objeto não encontrado
PATH NOT FOUND	Caminho inexistente ou inacessível
SHARING VIOLATION	Conflito de compartilhamento ou bloqueio de arquivo
BAD IMAGE	Problema relacionado à imagem executável ou a um componente
SUCCESS	Operação concluída com sucesso

Um resultado NAME NOT FOUND não representa necessariamente um erro.

Aplicativos consultam frequentemente caminhos e chaves de Registro opcionais.

O mesmo vale para ACCESS DENIED: uma tentativa negada pode ser esperada e não estar relacionada à falha principal.

O técnico deve analisar a sequência de eventos, o recurso acessado e o comportamento posterior.

16.4. Exemplo prático: aplicativo não abre por causa de uma dependência

Imagine que o programa tente carregar uma biblioteca necessária para sua inicialização.

O ProcMon mostra várias buscas por essa DLL, sem encontrar o arquivo.

Nesse cenário, o problema pode estar relacionado a uma instalação incompleta ou dependência ausente.

O procedimento correto é verificar os requisitos do aplicativo e reparar sua instalação a partir de uma fonte confiável.

Não baixe DLLs isoladas de sites desconhecidos.

16.5. Exemplo prático: aplicativo bloqueado antes de iniciar

Em outro cenário, o executável não chega a criar um processo observável.

O ProcMon pode não apresentar uma sequência útil de eventos associada ao aplicativo.

Entretanto, o Visualizador de Eventos registra um evento 3077 no mesmo horário.

Nesse caso, a evidência de Code Integrity é mais relevante para investigar o bloqueio.

A ausência de eventos do processo no ProcMon, isoladamente, não comprova que o WDAC foi responsável.

17. Aplicativos Win32, MSIX e AppX: por que o formato de instalação importa?

Nem todos os aplicativos do Windows utilizam o mesmo modelo de implantação.

O formato do aplicativo influencia os mecanismos de instalação, atualização, permissões e execução.

17.1. Aplicativos Win32

Aplicativos Win32 tradicionais geralmente utilizam arquivos executáveis e bibliotecas instalados em diretórios como:

C:\Program Files

C:\Program Files (x86)

Eles podem depender de:

• Bibliotecas DLL.
• Microsoft Visual C++ Redistributable.
• Componentes .NET.
• Serviços do Windows.
• Entradas do Registro.
• Permissões de arquivos.
• Drivers e componentes auxiliares.

Um programa Win32 pode falhar mesmo sem qualquer bloqueio de segurança.

Por exemplo, uma DLL ausente pode impedir sua inicialização.

Por isso, os eventos de Code Integrity devem ser examinados junto com os logs de aplicativos.

17.2. Aplicativos MSIX

O MSIX é um formato moderno de empacotamento de aplicativos.

Ele utiliza um modelo estruturado de implantação, identidade e assinatura de pacotes.

Problemas podem ocorrer durante:

• Instalação.
• Registro do pacote.
• Atualização.
• Validação de assinatura.
• Inicialização.
• Resolução de dependências.

Um aplicativo MSIX pode apresentar uma falha de implantação que não corresponde a um bloqueio do SmartScreen.

17.3. Aplicativos AppX

O termo AppX aparece em componentes e ferramentas de gerenciamento de pacotes de aplicativos Windows.

O Windows mantém registros específicos para operações de implantação e gerenciamento desses pacotes.

Para investigar problemas relacionados à instalação ou atualização, examine:

Visualizador de Eventos → Logs de Aplicativos e Serviços → Microsoft → Windows → AppXDeployment-Server → Operational

Esse canal pode fornecer informações relevantes sobre falhas de implantação.

Nem toda falha de inicialização, porém, será registrada nesse canal.

18. PowerShell para investigar aplicativos MSIX e AppX

O PowerShell permite consultar pacotes registrados para o usuário.

18.1. Listar aplicativos instalados

<CodeBlock language=”powershell” editable>
Get-AppxPackage |
Select-Object Name, PackageFullName, InstallLocation |
Sort-Object Name
</CodeBlock>

Esse comando lista pacotes registrados para a conta atual.

Para localizar um pacote específico:

<CodeBlock language=”powershell” editable>
Get-AppxPackage -Name “*Calculadora*” |
Format-List Name, PackageFullName, Status, InstallLocation
</CodeBlock>

O nome utilizado no filtro deve corresponder ao identificador real do pacote, que pode ser diferente do nome exibido no Menu Iniciar.

18.2. Consultar pacotes de todos os usuários

Em um contexto administrativo apropriado:

<CodeBlock language=”powershell” editable>
Get-AppxPackage -AllUsers |
Select-Object Name, PackageFullName, PackageUserInformation
</CodeBlock>

Essa consulta pode ajudar a identificar diferenças de registro entre contas.

A execução e a visibilidade dos resultados dependem das permissões.

18.3. Verificar logs de implantação

<CodeBlock language=”powershell” editable>
Get-WinEvent -FilterHashtable @{
LogName = ‘Microsoft-Windows-AppXDeploymentServer/Operational’
StartTime = (Get-Date).AddDays(-3)
} -ErrorAction SilentlyContinue |
Where-Object {
$_.Level -le 3
} |
Select-Object TimeCreated, Id, LevelDisplayName, Message |
Format-List
</CodeBlock>

O comando procura eventos de erro e aviso dos últimos três dias.

Se houver uma falha de implantação, examine o código de erro e o pacote envolvido.

Evite registrar novamente todos os pacotes do Windows indiscriminadamente. Esse tipo de procedimento pode introduzir novos problemas e não resolve bloqueios de políticas de segurança.

19. AppLocker e aplicativos empacotados

O AppLocker possui canais específicos para aplicativos empacotados.

No Visualizador de Eventos, procure:

Microsoft → Windows → AppLocker → Packaged app-Execution

Esse canal é relevante para investigar a aplicação de regras relacionadas à execução de aplicativos empacotados.

Para consultar eventos recentes:

<CodeBlock language=”powershell” editable>
Get-WinEvent -FilterHashtable @{
LogName = ‘Microsoft-Windows-AppLocker/Packaged app-Execution’
StartTime = (Get-Date).AddDays(-7)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated, Id, Message |
Format-List
</CodeBlock>

Se houver registros correspondentes ao aplicativo e ao horário da falha, investigue as regras efetivas.

Também é importante diferenciar problemas de implantação de problemas de execução.

Um pacote pode estar corretamente instalado, mas não atender a uma política de controle de aplicativos.

20. Visualizador de Eventos: quando o problema não é um bloqueio de segurança

Uma das maiores dificuldades do diagnóstico é distinguir bloqueios de falhas comuns de inicialização.

Para isso, consulte também:

Logs do Windows → Aplicativo

Procure eventos relacionados ao aplicativo no horário da falha.

Entre os eventos úteis estão:

Evento	Origem comum	Significado
1000	Application Error	Falha de aplicativo
1001	Windows Error Reporting	Relatório de falha
1026	.NET Runtime	Exceção em aplicativo .NET, quando registrada por esse provedor

Esses eventos podem indicar que o processo iniciou, mas encontrou um erro durante sua execução.

20.1. Consultando eventos de falha

<CodeBlock language=”powershell” editable>
Get-WinEvent -FilterHashtable @{
LogName = ‘Application’
Id = 1000,1001,1026
StartTime = (Get-Date).AddDays(-3)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated, ProviderName, Id, Message |
Format-List
</CodeBlock>

Observe informações como:

• Nome do aplicativo.
• Módulo com falha.
• Código de exceção.
• Caminho do executável.
• Horário da ocorrência.

Um evento 1000 correspondente ao aplicativo pode indicar uma falha de execução, não necessariamente um bloqueio de política.

20.2. Exemplo: erro 0xc0000005

O código 0xc0000005 está frequentemente associado a uma violação de acesso à memória.

Ele pode ocorrer por diferentes causas, incluindo defeitos de software, incompatibilidades e problemas em componentes carregados pelo processo.

Esse código, isoladamente, não identifica o SmartScreen, o WDAC ou o AppLocker como responsáveis.

20.3. Exemplo: erro 0xc000007b

O código 0xc000007b, associado a STATUS_INVALID_IMAGE_FORMAT, pode aparecer quando o Windows encontra problemas relacionados ao formato de uma imagem executável ou de uma dependência.

Entre as possibilidades estão incompatibilidades de arquitetura e componentes incorretos.

Nesse caso, investigar dependências e integridade da instalação costuma ser mais relevante do que modificar mecanismos de segurança.

21. Diagnóstico integrado: correlacionando os resultados

Considere quatro cenários.

Cenário A — Bloqueio por política App Control

Evento 3077

O aplicativo não abre. O Code Integrity registra um evento 3077 correspondente ao executável e ao horário da tentativa.

Interpretação: existe forte evidência de bloqueio por política. Investigue a política aplicada e os requisitos de confiança do arquivo.

Cenário B — Bloqueio pelo AppLocker

Evento 8004

O programa funciona para determinados usuários, mas é bloqueado para outros. O canal AppLocker registra um evento 8004.

Interpretação: examine as regras efetivas e o contexto da conta afetada.

Cenário C — Falha de inicialização

Evento 1000

O processo inicia e fecha. O log de aplicativos identifica um módulo com falha.

Interpretação: investigue a exceção, as dependências e a compatibilidade do aplicativo.

Cenário D — Arquivo detectado pelo Defender

Evento 1116

O histórico de proteção registra uma detecção correspondente ao arquivo.

Interpretação: confirme a classificação e as ações tomadas pelo Defender antes de qualquer restauração.

22. Script PowerShell para coletar evidências de bloqueio

O script abaixo reúne eventos relevantes de diferentes canais do Windows.

Ele não altera políticas nem desativa recursos de proteção.

O objetivo é facilitar uma primeira análise.

# Diagnostico VMIA - Aplicativos bloqueados
# Coleta de eventos sem alterar configuracoes

$inicio = (Get-Date).AddDays(-2)

$consultas = @(
    @{
        Nome = "Code Integrity"
        Log = "Microsoft-Windows-CodeIntegrity/Operational"
        IDs = @(3076,3077,3089)
    },
    @{
        Nome = "AppLocker"
        Log = "Microsoft-Windows-AppLocker/EXE and DLL"
        IDs = @(8003,8004)
    },
    @{
        Nome = "Microsoft Defender"
        Log = "Microsoft-Windows-Windows Defender/Operational"
        IDs = @(1116,1117,1118)
    },
    @{
        Nome = "Falhas de aplicativos"
        Log = "Application"
        IDs = @(1000,1001,1026)
    }
)

$resultados = foreach ($consulta in $consultas) {

    try {
        Get-WinEvent -FilterHashtable @{
            LogName = $consulta.Log
            Id = $consulta.IDs
            StartTime = $inicio
        } -ErrorAction Stop |
        ForEach-Object {
            [PSCustomObject]@{
                Categoria = $consulta.Nome
                Data = $_.TimeCreated
                Evento = $_.Id
                Mensagem = $_.Message
            }
        }
    }
    catch {
        Write-Verbose "Sem eventos ou acesso indisponivel: $($consulta.Nome)"
    }
}

$resultados |
Sort-Object Data -Descending |
Format-Table Categoria, Data, Evento -AutoSize

22.1. Como interpretar o resultado

O script apresenta uma visão resumida dos eventos encontrados.

Se houver um evento 3077, examine sua mensagem completa e os dados XML.

Se houver um evento 8004, consulte a política AppLocker efetiva.

Se houver um evento 1116, examine o histórico de proteção do Defender.

Se houver um evento 1000, investigue o módulo e o código da falha.

A simples presença de um evento não comprova que ele causou o problema. A correlação temporal e a identificação do arquivo são indispensáveis.

22.2. Limitações do script

O script é uma ferramenta de triagem, não um diagnóstico automático.

Ele pode não encontrar registros quando:

• O evento não foi gerado.
• O canal está desativado ou indisponível.
• Os registros antigos foram sobrescritos.
• A conta não possui permissões suficientes.
• O problema ocorreu fora do período pesquisado.
• O mecanismo responsável utiliza outro canal.

Além disso, os resultados podem conter informações sensíveis sobre caminhos, contas e programas. Revise esses dados antes de compartilhar relatórios.

23. Tabela profissional de diagnóstico VMIA

Evidência encontrada	Hipótese principal	Próxima investigação
Code Integrity 3077	Bloqueio por App Control	Política, assinatura e arquivo
Code Integrity 3076	Violação em auditoria	Verificar se houve outro bloqueio efetivo
Code Integrity 3089	Dados de assinatura	Correlacionar com eventos associados
AppLocker 8004	Regra de bloqueio aplicada	Política efetiva e usuário
Defender 1116	Detecção de ameaça	Histórico e ação aplicada
Application Error 1000	Falha de aplicativo	Módulo e código de exceção
AppXDeployment com erro	Falha de implantação	Pacote e código de erro
ProcMon com ACCESS DENIED	Acesso negado a recurso	Permissões e contexto
ProcMon com DLL ausente	Possível dependência ausente	Requisitos e reparo da instalação
Nenhum evento relevante	Causa ainda não identificada	Ampliar período e ferramentas de diagnóstico

24. Conclusão da Parte 2

Quando um aplicativo confiável deixa de abrir no Windows 11, o diagnóstico precisa ir além da reinstalação do programa.

O Windows oferece diferentes fontes de evidência:

• Code Integrity ajuda a investigar bloqueios de políticas App Control.
• AppLocker registra decisões relacionadas às suas regras.
• Microsoft Defender apresenta informações sobre detecções e ações de proteção.
• Process Monitor permite observar acessos a arquivos, Registro e processos.
• Logs de aplicativos ajudam a identificar falhas de inicialização.
• Eventos de implantação permitem investigar problemas com pacotes MSIX e AppX.

A combinação dessas ferramentas permite reduzir tentativas aleatórias e identificar a origem do problema com maior precisão.

O princípio central é simples: primeiro identifique a causa, depois aplique uma correção específica, preservando a segurança do Windows.

Diagnóstico profissional e correções seguras | Novembro de 2026

Nas duas primeiras partes deste guia, mostramos como identificar bloqueios de aplicativos no Windows 11 utilizando o Visualizador de Eventos, PowerShell, Microsoft Defender, Process Monitor, Code Integrity e AppLocker.

Agora vamos investigar situações mais complexas: programas que possuem assinatura digital, mas continuam bloqueados; aplicativos que iniciam parcialmente porque uma DLL não consegue carregar; falhas de validação de certificados; problemas com pacotes MSIX e políticas de segurança que impedem a execução sem apresentar mensagens claras.

Esses cenários exigem uma análise cuidadosa. Uma assinatura digital aparentemente válida não garante que determinado aplicativo atenda a todas as políticas de segurança do Windows.

Nesta terceira parte, o objetivo é identificar exatamente onde a cadeia de confiança ou a execução falhou e aplicar correções que preservem a segurança do sistema.

25. Authenticode: como o Windows verifica a assinatura digital dos aplicativos

O Authenticode é uma tecnologia de assinatura de código utilizada no ecossistema Windows.

Ela permite verificar a integridade de arquivos assinados e identificar o certificado associado ao editor.

O processo envolve diferentes elementos:

• Arquivo executável ou biblioteca.
• Hash criptográfico do conteúdo protegido.
• Assinatura digital.
• Certificado do assinante.
• Certificados intermediários.
• Autoridade certificadora raiz.
• Informações de validade e revogação.
• Carimbo de tempo, quando presente.

A assinatura ajuda a verificar se o conteúdo assinado sofreu alterações e se existe uma cadeia de confiança reconhecida.

Entretanto, uma assinatura Authenticode válida não significa automaticamente que o Windows permitirá a execução do aplicativo.

Uma política WDAC, por exemplo, pode exigir que o programa pertença a um editor autorizado.

Da mesma forma, um aplicativo assinado pode apresentar comportamento malicioso ou incompatibilidades técnicas.

25.1. Verificando a assinatura com PowerShell

Abra o PowerShell e execute:

$arquivo = "C:\Program Files\Aplicativo\programa.exe"

Get-AuthenticodeSignature -FilePath $arquivo |
Format-List *

O resultado pode apresentar:

Propriedade	Significado
Status	Resultado da verificação da assinatura
StatusMessage	Descrição do estado
SignerCertificate	Certificado associado ao assinante
TimeStamperCertificate	Certificado de carimbo de tempo, quando identificado
Path	Caminho do arquivo analisado

Os resultados devem ser interpretados considerando a política de verificação utilizada.

Um status Valid não substitui uma investigação de reputação ou uma análise das políticas de controle de aplicativos.

25.2. Identificando o editor do aplicativo

Para consultar informações básicas do certificado:

$assinatura = Get-AuthenticodeSignature `
    -FilePath "C:\Program Files\Aplicativo\programa.exe"

if ($assinatura.SignerCertificate) {
    $assinatura.SignerCertificate |
    Format-List Subject, Issuer, NotBefore, NotAfter, Thumbprint
}

Observe principalmente:

Subject: identifica o titular apresentado no certificado.

Issuer: identifica a autoridade emissora.

NotBefore: início do período de validade.

NotAfter: término do período de validade.

Thumbprint: impressão digital do certificado.

A identificação do editor deve ser comparada com informações obtidas de uma fonte oficial do fornecedor.

Um nome semelhante ao de uma empresa conhecida não é prova suficiente de autenticidade.

26. Cadeia de confiança: quando o certificado existe, mas o Windows não confia nele

Uma assinatura digital depende de uma cadeia de certificados.

Em um cenário comum, essa cadeia envolve:

Autoridade certificadora raizÂncora de confiança reconhecida pela política de validação

Autoridade certificadora intermediáriaEmite ou participa da cadeia do certificado do editor

Certificado de assinatura de códigoAssociado ao editor do aplicativo

Se um componente necessário dessa cadeia estiver ausente, expirado, revogado ou não for considerado confiável, a validação poderá falhar.

26.1. Causas frequentes de falhas na cadeia

Entre as possibilidades estão:

• Certificado intermediário indisponível.
• Autoridade raiz não reconhecida pela política de confiança.
• Certificado revogado.
• Problemas na consulta de revogação.
• Relógio do computador incorreto.
• Restrições de uso do certificado.
• Alteração do arquivo após sua assinatura.
• Políticas corporativas de confiança.

A mensagem de erro nem sempre identifica qual dessas condições ocorreu.

26.2. Como inspecionar os certificados instalados

Abra:

Win + R → certmgr.msc

Essa ferramenta permite consultar certificados associados ao usuário atual.

Para certificados do computador, utilize o console MMC com o snap-in Certificados — Conta do computador, quando possuir autorização administrativa.

Examine os repositórios relevantes, como:

• Autoridades de Certificação Raiz Confiáveis.
• Autoridades de Certificação Intermediárias.
• Pessoas Confiáveis, quando aplicável.

Não instale certificados raiz desconhecidos para fazer um aplicativo funcionar.

Adicionar uma nova autoridade raiz confiável pode ampliar significativamente o conjunto de certificados aceitos pelo computador.

27. Carimbo de tempo: por que um aplicativo antigo pode continuar com assinatura válida?

O carimbo de tempo é um elemento importante na assinatura digital de software.

Ele permite associar uma assinatura a um momento verificável.

Quando implementado corretamente e aceito pela política de validação, pode permitir que uma assinatura continue sendo considerada válida após o vencimento do certificado de assinatura de código.

Isso não significa que qualquer aplicativo antigo será automaticamente autorizado.

A validação também depende da integridade da assinatura, da confiança da cadeia, das condições de revogação e da política aplicada.

27.1. Exemplo prático

Imagine que um desenvolvedor tenha assinado um aplicativo durante o período de validade do certificado.

Anos depois, o certificado expira.

Se existir um carimbo de tempo confiável e as demais condições forem atendidas, a assinatura poderá continuar válida.

Sem um carimbo de tempo apropriado, a expiração do certificado pode impedir a validação em determinadas condições.

27.2. Verificação com PowerShell

<CodeBlock language=”powershell” editable>
$assinatura = Get-AuthenticodeSignature `
-FilePath “C:\Program Files\Aplicativo\programa.exe”

$assinatura | Select-Object Status, StatusMessage

$assinatura.TimeStamperCertificate |
Format-List Subject, Issuer, NotBefore, NotAfter

Se o resultado não apresentar um certificado de carimbo de tempo, não conclua automaticamente que o arquivo não possui informações temporais válidas.

O PowerShell não expõe necessariamente todos os detalhes de todos os formatos de assinatura.

Ferramentas especializadas podem ser necessárias.

28. CRL e OCSP: quando a verificação de revogação interfere na confiança

A validação de certificados pode envolver mecanismos de consulta de revogação.

Dois mecanismos conhecidos são CRL e OCSP.

CRL (Certificate Revocation List) é uma lista de certificados revogados publicada por uma autoridade certificadora.

OCSP (Online Certificate Status Protocol) permite consultar informações sobre o estado de revogação de um certificado.

A utilização desses mecanismos depende do aplicativo, das APIs de validação, das políticas e da configuração do ambiente.

28.1. Como problemas de rede podem afetar a validação

Imagine um computador corporativo conectado a uma rede com proxy.

O aplicativo utiliza uma assinatura digital válida, mas determinado componente precisa validar certificados por meio de serviços externos.

Se o acesso necessário estiver bloqueado, a verificação poderá apresentar erros ou atrasos.

Possíveis causas:

• Proxy configurado incorretamente.
• Resolução DNS com falhas.
• Firewall bloqueando endpoints necessários.
• Certificados intermediários indisponíveis.
• Inspeção TLS incompatível.
• Falhas temporárias nos serviços de validação.

A indisponibilidade de CRL ou OCSP não produz sempre o mesmo resultado.

Algumas políticas podem permitir continuidade em certas condições; outras podem exigir uma validação bem-sucedida.

28.2. Verificando o proxy WinHTTP

netsh winhttp show proxy

Esse comando apresenta a configuração de proxy WinHTTP.

Ele não mostra necessariamente todas as configurações de proxy utilizadas por navegadores ou aplicativos.

Para consultar informações de proxy do usuário:

Get-ItemProperty `
    -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" |
Select-Object ProxyEnable, ProxyServer, AutoConfigURL

A existência de um proxy não significa que ele esteja causando o bloqueio.

É necessário verificar se a aplicação ou o mecanismo de validação realmente depende dessa configuração.

28.3. CertUtil para diagnóstico de certificados

O Windows inclui o certutil.exe, que oferece recursos de consulta e verificação de certificados.

Para inspecionar um arquivo de certificado obtido de uma fonte confiável:

<CodeBlock language=”powershell” editable>
certutil -dump “C:\Diagnostico\certificado.cer”
</CodeBlock>

Para executar verificações de cadeia e revogação de um certificado, quando apropriado:

<CodeBlock language=”powershell” editable>
certutil -verify -urlfetch “C:\Diagnostico\certificado.cer”
</CodeBlock>

O comando pode realizar consultas de rede e utilizar informações de certificados e revogação.

Ele não substitui a verificação Authenticode do executável completo.

A análise precisa considerar o tipo de certificado, o uso pretendido e a política de validação.

Não desative verificações de revogação como solução genérica para problemas de assinatura.

29. CAPI2: investigando erros de cadeia de certificados

O Windows possui um canal de eventos relacionado a operações criptográficas e construção de cadeias de certificados.

No Visualizador de Eventos, procure:

Logs de Aplicativos e Serviços → Microsoft → Windows → CAPI2 → Operational

Esse canal pode ajudar a investigar determinadas falhas de validação de certificados.

O registro operacional pode estar desativado em alguns sistemas.

29.1. Consultando o estado do canal

<CodeBlock language=”powershell” editable>
Get-WinEvent -ListLog “Microsoft-Windows-CAPI2/Operational” |
Select-Object LogName, IsEnabled, RecordCount
</CodeBlock>

Se o canal estiver habilitado, consulte os eventos recentes:

<CodeBlock language=”powershell” editable>
Get-WinEvent -FilterHashtable @{
LogName = ‘Microsoft-Windows-CAPI2/Operational’
StartTime = (Get-Date).AddHours(-12)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated, Id, LevelDisplayName, Message |
Format-List
</CodeBlock>

Os eventos podem apresentar informações relacionadas à construção e à validação de cadeias.

Entretanto, nem todo bloqueio Authenticode gera um evento CAPI2 diretamente associado ao aplicativo.

29.2. Correção segura para problemas de cadeia

Quando a investigação identificar um certificado intermediário ausente, o procedimento adequado é obter o certificado por um canal oficial e verificar sua autenticidade.

Em ambientes corporativos, o administrador deve confirmar as políticas de confiança e a distribuição de certificados.

Evite baixar certificados de sites desconhecidos ou adicioná-los indiscriminadamente aos repositórios do Windows.

30. Bloqueios de DLL: quando o executável inicia, mas não consegue carregar um componente

Um aplicativo pode depender de dezenas ou centenas de bibliotecas.

Algumas fazem parte do Windows. Outras são distribuídas pelo próprio fornecedor.

Uma falha no carregamento de uma DLL pode impedir a inicialização ou provocar o encerramento do processo.

Entre as possíveis causas estão:

• Biblioteca ausente.
• Arquivo corrompido.
• Arquitetura incompatível.
• Permissões inadequadas.
• Dependência secundária indisponível.
• Bloqueio por política de integridade de código.
• Incompatibilidade de versão.

Nem toda falha de DLL representa um bloqueio de segurança.

30.1. Diferenciando uma DLL ausente de uma DLL bloqueada

Evidência	Possível interpretação
NAME NOT FOUND no ProcMon	Busca por arquivo não encontrado
ACCESS DENIED	Acesso negado a um recurso
BAD IMAGE	Problema com formato ou imagem do módulo
Code Integrity 3077 relacionado à DLL	Possível bloqueio por política App Control
Application Error 1000	Falha do processo ou módulo
Erro de carregamento de dependência	Componente ausente, incompatível ou inacessível

A correlação dos registros é essencial.

30.2. Investigando DLLs com Process Monitor

Abra o Process Monitor e configure filtros relacionados ao executável.

Durante a captura, observe operações como:

CreateFile

Load Image

QueryOpen

A operação Load Image pode ajudar a identificar módulos carregados pelo processo.

O técnico deve examinar:

• Caminho completo da DLL.
• Resultado da operação.
• Processo responsável.
• Horário da tentativa.
• Eventos anteriores e posteriores.

Uma sequência de buscas por DLLs em diferentes diretórios pode ser normal.

Não interprete toda ocorrência de NAME NOT FOUND como defeito.

30.3. Como corrigir uma dependência ausente

Se o diagnóstico confirmar uma dependência ausente, procure o instalador oficial do aplicativo ou o pacote de componentes recomendado pelo fornecedor.

Exemplos incluem versões específicas do Microsoft Visual C++ Redistributable ou do .NET.

Verifique a arquitetura necessária, como x86, x64 ou ARM64.

Não copie DLLs aleatórias para System32, SysWOW64 ou diretórios do aplicativo.

Isso pode introduzir incompatibilidades e problemas de segurança.

31. Sigcheck: verificando assinaturas e informações dos executáveis

O Sigcheck é uma ferramenta da Microsoft Sysinternals utilizada para examinar informações de arquivos, versões e assinaturas digitais.

Ela complementa o PowerShell em investigações de confiança de código.

Página oficial:

<Link url=”https://learn.microsoft.com/sysinternals/downloads/sigcheck” title=”Microsoft Learn — Sigcheck”/>

31.1. Consultando informações de assinatura

Depois de obter a ferramenta oficialmente, execute no terminal:

<CodeBlock language=”powershell” editable>
.\sigcheck64.exe -i “C:\Program Files\Aplicativo\programa.exe”
</CodeBlock>

A opção -i apresenta informações adicionais sobre a cadeia de certificados.

A disponibilidade de opções e o formato da saída dependem da versão da ferramenta.

Para consultar a ajuda:

.\sigcheck64.exe -?

31.2. Examinando o arquivo

O Sigcheck pode ajudar a identificar:

• Nome e versão do arquivo.
• Editor declarado.
• Informações de assinatura.
• Certificados associados.
• Dados de cadeia.
• Hashes, conforme as opções utilizadas.

Compare os resultados com as informações oficiais do fornecedor.

31.3. Sigcheck e reputação de arquivos

Algumas funcionalidades do Sigcheck permitem integrar verificações com serviços externos, conforme as opções utilizadas e as condições de uso.

Antes de enviar hashes ou arquivos a serviços de terceiros, avalie a confidencialidade dos dados e as políticas da organização.

Em sistemas corporativos, não envie executáveis proprietários sem autorização.

32. WDAC: como diferenciar uma política de auditoria de uma política que bloqueia

O App Control for Business pode operar com diferentes configurações e políticas.

Uma distinção fundamental envolve os modos de auditoria e imposição.

No modo de auditoria, o Windows pode registrar violações potenciais sem impedir a execução por aquela regra.

No modo de imposição, a política pode bloquear o código que não atende aos critérios.

32.1. Exemplo prático

Uma empresa utiliza um aplicativo interno assinado por um certificado específico.

Após uma atualização, o fornecedor passa a utilizar outro certificado de assinatura.

O aplicativo atualizado pode deixar de corresponder a uma regra que autorizava o editor anterior.

Se a política estiver em modo de imposição, o programa poderá ser bloqueado.

O procedimento correto é verificar a assinatura atual e solicitar ao administrador uma revisão controlada da política.

32.2. Como analisar políticas sem modificá-las

Consulte os eventos de Code Integrity e as políticas disponíveis no sistema.

Quando compatível:

CiTool.exe --list-policies

Depois, examine as informações sobre a política efetiva.

Não remova políticas, não substitua arquivos de integridade de código e não desative mecanismos de segurança como tentativa de diagnóstico.

32.3. Correção administrativa segura

Em um ambiente gerenciado, o administrador pode:

1. Confirmar a procedência do aplicativo.
2. Validar a assinatura e o editor.
3. Identificar a regra responsável.
4. Avaliar uma atualização da política.
5. Testar a mudança em um grupo controlado.
6. Implantar a política revisada após aprovação.

A solução deve autorizar somente o software necessário, preservando as demais restrições.

33. AppLocker: regras por editor, caminho e hash

O AppLocker permite definir regras que controlam a execução de aplicativos.

Entre os critérios estão:

Editor: utiliza informações de assinatura do arquivo.

Caminho: considera o local do arquivo.

Hash: identifica um conteúdo específico.

Cada abordagem possui características diferentes.

33.1. Regras baseadas em editor

Uma regra pode autorizar aplicativos assinados por determinado fornecedor.

Entretanto, uma mudança no certificado ou nos atributos considerados pela regra pode afetar o resultado.

33.2. Regras baseadas em caminho

Uma regra pode considerar a localização do executável.

O administrador deve evitar autorizações amplas em diretórios nos quais usuários sem privilégios podem gravar arquivos.

Caso contrário, a regra pode permitir a execução de programas não aprovados.

33.3. Regras baseadas em hash

Uma regra baseada em hash identifica uma versão específica do arquivo.

Após uma atualização, o hash normalmente muda.

Isso pode fazer com que a nova versão deixe de corresponder à regra anterior.

33.4. Como corrigir sem comprometer a política

O procedimento recomendado é revisar a regra específica com o administrador responsável.

A alteração deve ser documentada e testada antes da implantação.

Evite criar regras genéricas que permitam todos os executáveis de uma pasta ou de um usuário sem avaliar os riscos.

34. Smart App Control: por que um aplicativo assinado ainda pode ser bloqueado?

O Smart App Control considera sinais de confiança para decidir se determinados aplicativos podem executar.

A presença de uma assinatura digital não garante automaticamente a autorização.

O sistema pode considerar diferentes características do arquivo e sinais de reputação.

Um aplicativo legítimo, mas pouco conhecido, pode enfrentar dificuldades de confiança.

34.1. O que fazer nesses casos?

A sequência recomendada é:

1. Confirmar a origem oficial do aplicativo.
2. Verificar se existe atualização.
3. Examinar a assinatura digital.
4. Consultar informações do fornecedor.
5. Verificar se existe uma versão compatível com os mecanismos de segurança atuais.

Não existe uma lista convencional de exceções individuais do Smart App Control para autorizar um único aplicativo.

Desativar o recurso pode dificultar sua reativação posterior.

Por isso, a desativação não deve ser utilizada como teste rotineiro.

35. MSIX e AppX: quando a assinatura do pacote impede a instalação

Aplicativos empacotados utilizam mecanismos próprios de implantação e identidade.

Um pacote MSIX normalmente depende de assinatura e validações apropriadas para sua instalação.

Problemas podem envolver:

• Certificado não confiável.
• Assinatura inválida.
• Identidade incompatível.
• Dependência ausente.
• Pacote corrompido.
• Arquitetura incompatível.
• Restrições de implantação.

35.1. Consultando o pacote instalado

Get-AppxPackage |
Select-Object Name, PackageFullName, Publisher, Status |
Sort-Object Name

O resultado ajuda a identificar o nome do pacote, o editor declarado e o estado disponível.

35.2. Investigando falhas de implantação

Consulte:

Microsoft → Windows → AppXDeployment-Server → Operational

No PowerShell:

Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-AppXDeploymentServer/Operational'
    StartTime = (Get-Date).AddDays(-3)
} -ErrorAction SilentlyContinue |
Where-Object {
    $_.Level -le 3
} |
Select-Object TimeCreated, Id, Message |
Format-List

Identifique o código de erro e o pacote correspondente.

A correção depende do resultado.

35.3. Por que não reinstalar todos os pacotes?

Comandos genéricos que tentam registrar novamente todos os aplicativos do Windows podem produzir erros adicionais.

Além disso, não resolvem necessariamente problemas de certificados, políticas ou dependências.

Prefira investigar e reparar somente o aplicativo afetado.

36. Roteiro avançado de diagnóstico VMIA

A sequência abaixo ajuda a organizar uma investigação profissional.

1. Identifique o executável ou pacoteRegistre o caminho, a versão, o editor e a origem do software.
2. Verifique a assinatura digitalUtilize PowerShell ou Sigcheck para examinar a integridade e a cadeia de confiança.
3. Consulte os eventos de segurançaExamine Code Integrity, AppLocker e Microsoft Defender no horário da falha.
4. Analise certificados quando necessárioInvestigue validade, cadeia, carimbo de tempo e revogação quando houver evidências de problemas criptográficos.
5. Investigue dependênciasUtilize Process Monitor e logs de aplicativos para identificar falhas de DLL, permissões ou inicialização.
6. Examine as políticas efetivasEm ambientes gerenciados, confirme as regras WDAC e AppLocker com o administrador.
7. Aplique a correção específicaAtualize o software, repare dependências ou solicite a revisão autorizada da política.
8. Valide o resultadoConfirme que o aplicativo funciona e que os mecanismos de segurança continuam operacionais.

37. Tabela de causas e correções seguras

Problema identificado	Evidência principal	Correção recomendada
Assinatura inválida	Authenticode	Obter instalador íntegro e oficial
Certificado intermediário ausente	Validação de cadeia	Corrigir a cadeia por fonte confiável
Falha de revogação	CAPI2 ou verificação de certificado	Investigar rede e acesso aos serviços necessários
DLL ausente	ProcMon ou erro de carregamento	Reparar instalação e dependências oficiais
DLL bloqueada por WDAC	Code Integrity	Revisar política com administrador
Executável bloqueado por AppLocker	Evento 8004	Revisar regra autorizada
Aplicativo bloqueado pelo Smart App Control	Aviso e evidências do recurso	Obter versão confiável e compatível
Pacote MSIX com falha	AppXDeployment	Corrigir pacote, assinatura ou dependência
Arquivo detectado pelo Defender	Histórico de proteção	Investigar a detecção e a procedência
Falha comum de aplicativo	Application Error 1000	Diagnosticar módulo e exceção

38. Conclusão da Parte 3

Aplicativos confiáveis podem deixar de funcionar no Windows 11 por razões muito diferentes.

Alguns problemas envolvem assinaturas digitais, certificados intermediários ou validação de revogação.

Outros surgem quando uma DLL não consegue carregar, uma política WDAC impede a execução ou uma regra AppLocker não contempla a versão atualizada do programa.

Também existem falhas específicas de implantação de pacotes MSIX e AppX.

O diagnóstico profissional exige relacionar os sintomas aos registros técnicos, evitando interpretações baseadas apenas na aparência do problema.

A melhor correção não é a que simplesmente faz o programa abrir, mas aquela que resolve a causa preservando a integridade e a segurança do computador.

Guia final de soluções | Novembro de 2026

Nas três primeiras partes deste guia, investigamos os mecanismos de segurança que podem impedir a execução de aplicativos no Windows 11. Analisamos o Microsoft Defender SmartScreen, Smart App Control, App Control for Business (WDAC), AppLocker, Code Integrity, assinaturas Authenticode, certificados digitais, DLLs e pacotes MSIX/AppX.

Também mostramos como utilizar PowerShell, Visualizador de Eventos, Process Monitor e Sigcheck para diferenciar bloqueios de segurança de falhas comuns de inicialização.

Agora vamos reunir essas informações em um roteiro de correção.

O objetivo não é simplesmente fazer o programa voltar a abrir. A solução correta deve eliminar a causa do problema sem comprometer a proteção do Windows 11.

39. Como corrigir aplicativos bloqueados no Windows 11 de acordo com a causa

Quando um programa deixa de funcionar, reinstalá-lo repetidamente pode não resolver o problema.

Se uma política de segurança impede sua execução, por exemplo, uma nova instalação continuará sujeita às mesmas restrições.

Por isso, o primeiro passo consiste em identificar o mecanismo responsável.

39.1. Solução 1 — Aplicativo bloqueado pelo Microsoft Defender SmartScreen

O SmartScreen utiliza informações de reputação e outros sinais para ajudar a proteger o computador contra aplicativos e downloads potencialmente perigosos.

Um programa legítimo, especialmente quando pouco conhecido ou recém-publicado, pode apresentar um aviso de reputação.

Sintomas possíveis:

• O Windows apresenta a mensagem “O Windows protegeu o computador”.
• O sistema informa que impediu a inicialização de um aplicativo desconhecido.
• O aviso aparece após baixar um instalador.
• O aplicativo funciona em outro computador, mas apresenta alerta no equipamento atual.

Procedimento recomendado:

1. Confirme que o arquivo foi obtido diretamente do desenvolvedor oficial.
2. Verifique se existe uma versão mais recente.
3. Examine a assinatura digital do executável.
4. Compare o hash SHA-256 com uma referência oficial, quando disponível.
5. Consulte o histórico de proteção do Windows.
6. Se o bloqueio parecer incorreto, procure os canais oficiais do fornecedor ou da Microsoft para análise de possível falso positivo.

Para verificar a assinatura:

Get-AuthenticodeSignature -FilePath "C:\Caminho\Programa.exe" |
Format-List Status, StatusMessage, SignerCertificate

Para calcular o hash:

Get-FileHash -Path "C:\Caminho\Programa.exe" -Algorithm SHA256

Evite desativar globalmente o SmartScreen para executar um único programa.

Se o arquivo for realmente confiável, o caminho preferencial é obter uma versão reconhecida, íntegra e corretamente distribuída pelo fornecedor.

39.2. Solução 2 — Aplicativo bloqueado pelo Smart App Control

O Controle Inteligente de Aplicativos utiliza avaliações de confiança para impedir a execução de determinados softwares.

O recurso pode bloquear programas que não apresentam sinais suficientes de confiança, mesmo quando não existe uma detecção explícita de malware.

Como verificar:

Abra:

Segurança do Windows → Controle de aplicativos e navegador → Configurações do Controle Inteligente de Aplicativos

Observe o estado do recurso.

Se estiver ativado, verifique se a mensagem apresentada ao usuário identifica explicitamente o Smart App Control.

Correção recomendada:

• Atualize o aplicativo para a versão oficial mais recente.
• Confirme a procedência do instalador.
• Verifique a assinatura digital.
• Consulte o fornecedor sobre compatibilidade.
• Procure uma versão que atenda aos requisitos atuais de confiança do Windows.

O Smart App Control não oferece uma lista convencional de exceções individuais para liberar aplicativos específicos.

Além disso, desativá-lo pode exigir uma redefinição ou reinstalação do Windows para permitir sua reativação, dependendo das condições do sistema.

Por esse motivo, não utilize a desativação do Smart App Control como procedimento rotineiro de diagnóstico.

39.3. Solução 3 — Aplicativo bloqueado por política WDAC

O App Control for Business, anteriormente conhecido como Windows Defender Application Control, permite definir políticas de execução de código.

Em ambientes corporativos, essas políticas podem autorizar apenas determinados aplicativos, editores ou componentes.

Um programa pode ser bloqueado depois de uma atualização que modifica seu executável, assinatura ou dependências.

Evidência relevante: evento 3077 no canal Code Integrity, correspondente ao arquivo e ao horário da tentativa.

Consulte:

Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-CodeIntegrity/Operational'
    Id = 3077
    StartTime = (Get-Date).AddDays(-3)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated, Id, Message |
Format-List

Se o evento confirmar um bloqueio por política, o administrador deve:

1. Identificar a política responsável.
2. Confirmar a legitimidade do aplicativo.
3. Examinar o certificado e o editor.
4. Avaliar uma regra específica de autorização.
5. Testar a alteração em ambiente controlado.
6. Implantar a política revisada conforme os procedimentos da organização.

Não remova arquivos de política nem desative mecanismos de integridade de código para contornar o bloqueio.

39.4. Solução 4 — Aplicativo bloqueado pelo AppLocker

O AppLocker pode restringir a execução de programas com base em regras administrativas.

Essas regras podem considerar o editor, o caminho do arquivo ou seu hash.

Um programa atualizado pode deixar de corresponder a uma regra baseada em hash.

Da mesma forma, uma regra de editor pode não contemplar determinadas alterações na assinatura.

Evidência relevante: evento 8004 no canal AppLocker EXE and DLL.

Consulte:

Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-AppLocker/EXE and DLL'
    Id = 8004
    StartTime = (Get-Date).AddDays(-3)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated, Id, Message |
Format-List

Se o bloqueio for confirmado, solicite a revisão da regra ao administrador responsável.

A alteração deve autorizar somente o aplicativo necessário, evitando permissões excessivamente amplas.

40. Como corrigir problemas de certificados Authenticode

Um executável pode apresentar falha de validação de assinatura por diferentes motivos.

Entre eles estão:

• Arquivo modificado depois da assinatura.
• Certificado não confiável.
• Cadeia de certificação incompleta.
• Certificado revogado.
• Problemas de carimbo de tempo.
• Restrições da política de validação.

40.1. Quando o arquivo apresenta HashMismatch

O estado HashMismatch indica que a verificação encontrou uma incompatibilidade entre o conteúdo e o hash associado à assinatura.

Isso pode ocorrer quando o arquivo foi alterado depois de assinado ou sofreu corrupção.

Correção recomendada: obtenha novamente o instalador diretamente da fonte oficial e compare sua integridade.

Não tente corrigir a assinatura modificando o executável manualmente.

40.2. Quando o certificado não é confiável

Se a assinatura apresenta problemas de confiança, investigue a cadeia de certificados.

Verifique:

• Certificado do editor.
• Autoridades intermediárias.
• Autoridade raiz.
• Restrições de uso do certificado.
• Validade e revogação.

Em ambientes corporativos, confirme se a política de confiança foi distribuída corretamente.

Não instale certificados raiz desconhecidos para eliminar o aviso.

40.3. Quando o certificado expirou

A expiração do certificado não significa necessariamente que uma assinatura Authenticode deixou de ser válida.

Um carimbo de tempo confiável pode permitir a validação de uma assinatura realizada durante a validade do certificado, desde que as demais condições sejam atendidas.

Se houver dúvida, examine os dados com ferramentas apropriadas e solicite orientação ao fornecedor.

41. CRL e OCSP: soluções para falhas de verificação de revogação

Problemas de conectividade podem interferir em determinadas verificações de certificados.

Dependendo da política de validação, a indisponibilidade de informações de revogação pode provocar erros ou atrasos.

41.1. Verifique o relógio do Windows

Uma data ou hora incorreta pode afetar a validação de certificados.

Abra:

Configurações → Hora e idioma → Data e hora

Confirme o fuso horário e a sincronização.

41.2. Verifique DNS e conectividade

Utilize comandos de diagnóstico:

ipconfig /all

Get-DnsClientServerAddress

Esses comandos ajudam a identificar as configurações de rede.

Se os registros de validação apontarem um endereço específico de CRL ou OCSP, o técnico poderá investigar sua resolução e conectividade.

Não presuma que qualquer falha de acesso à Internet esteja relacionada à revogação de certificados.

41.3. Verifique o proxy

netsh winhttp show proxy

Em ambientes corporativos, confirme se os serviços de validação necessários estão acessíveis conforme a política de rede.

Não desative verificações de revogação como solução permanente.

42. Como corrigir bloqueios de DLL e dependências

Quando um executável inicia e fecha imediatamente, uma dependência pode estar ausente, incompatível ou bloqueada.

O Process Monitor ajuda a investigar acessos a arquivos e carregamento de módulos.

Entretanto, o resultado deve ser interpretado com cuidado.

42.1. DLL ausente

Se a investigação confirmar uma dependência ausente:

1. Identifique o nome e a versão necessária.
2. Consulte os requisitos oficiais do aplicativo.
3. Repare ou reinstale o software.
4. Instale componentes oficiais recomendados pelo fornecedor.
5. Reinicie o aplicativo e valide o funcionamento.

Não baixe DLLs isoladas de sites desconhecidos.

42.2. DLL bloqueada por política

Se o Code Integrity registrar um bloqueio correspondente à biblioteca, investigue a política responsável.

Uma regra pode autorizar o executável principal e ainda impedir o carregamento de um componente secundário.

Nesse cenário, o administrador deve revisar a política de maneira específica.

42.3. DLL com arquitetura incompatível

Aplicativos x86, x64 e ARM64 possuem requisitos próprios.

Uma biblioteca incompatível pode impedir o carregamento do programa.

A solução envolve instalar a versão correta da dependência ou utilizar uma versão compatível do aplicativo.

43. Soluções para aplicativos MSIX e AppX

Aplicativos empacotados podem apresentar falhas de instalação, atualização ou registro.

O primeiro passo consiste em identificar o pacote afetado.

Get-AppxPackage |
Select-Object Name, PackageFullName, Status |
Sort-Object Name

Depois, consulte os eventos de implantação:

Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-AppXDeploymentServer/Operational'
    StartTime = (Get-Date).AddDays(-3)
} -ErrorAction SilentlyContinue |
Where-Object {
    $_.Level -le 3
} |
Select-Object TimeCreated, Id, Message |
Format-List

43.1. Reparar um aplicativo pelas Configurações

Quando o aplicativo oferecer essa opção:

1. Abra Configurações → Aplicativos → Aplicativos instalados.
2. Localize o programa.
3. Abra Opções avançadas.
4. Selecione Reparar, quando disponível.
5. Teste novamente.

O recurso de reparo pode não estar disponível para todos os aplicativos.

43.2. Quando utilizar Redefinir?

A opção Redefinir pode apagar dados e configurações locais do aplicativo.

Antes de utilizá-la, confirme quais informações precisam ser preservadas.

Se o problema estiver relacionado a uma política WDAC ou AppLocker, redefinir o aplicativo não necessariamente resolverá o bloqueio.

43.3. Reinstalação segura

Se o pacote estiver corrompido, obtenha novamente o aplicativo por sua fonte oficial.

Em ambientes corporativos, utilize o método de distribuição autorizado pela organização.

Evite comandos genéricos que removam ou registrem novamente todos os pacotes do Windows.

44. Diagnóstico rápido: aplicativo não abre e não mostra erro

Roteiro VMIA de diagnóstico

Progresso da investigação

0 de 8Confirmar o nome, caminho e origem do aplicativoRegistrar o horário exato da falhaVerificar o histórico do Microsoft DefenderConsultar Code Integrity e AppLockerExaminar assinatura digital e hashConsultar eventos de falha de aplicativoVerificar dependências e pacotesAplicar a correção específica e testar

Reiniciar checklist

Esse roteiro evita alterações desnecessárias no sistema e ajuda a manter a investigação organizada.

45. Tabela definitiva de diagnóstico e soluções

Sintoma	Causa possível	Ferramenta	Solução
Windows protegeu o computador	SmartScreen	Segurança do Windows	Verificar procedência e versão oficial
Aviso do Controle Inteligente	Smart App Control	Segurança do Windows	Obter aplicativo confiável e compatível
Evento 3077	WDAC	Code Integrity	Revisão autorizada da política
Evento 3076	Auditoria WDAC	Code Integrity	Investigar sem presumir bloqueio efetivo
Evento 8004	AppLocker	Event Viewer	Revisar regra específica
Assinatura inválida	Arquivo alterado ou corrompido	PowerShell/Sigcheck	Obter cópia íntegra
Falha de cadeia	Certificado não confiável	CAPI2/CertUtil	Corrigir cadeia por fonte oficial
Falha de revogação	Rede ou validação	CAPI2/CertUtil	Corrigir conectividade ou configuração
DLL ausente	Instalação incompleta	ProcMon	Reparar dependência oficial
DLL bloqueada	Política de execução	Code Integrity	Revisão autorizada
Pacote não instala	MSIX/AppX	AppXDeployment	Corrigir pacote ou dependência
Processo fecha	Falha de aplicativo	Event Viewer	Investigar módulo e exceção

46. Como prevenir bloqueios inesperados no Windows 11

A prevenção começa antes da instalação do software.

46.1. Utilize fontes oficiais

Prefira aplicativos distribuídos diretamente pelo desenvolvedor ou por canais reconhecidos.

Evite versões modificadas, instaladores desconhecidos e arquivos obtidos de páginas não verificadas.

46.2. Mantenha aplicativos atualizados

Versões antigas podem apresentar problemas de compatibilidade, assinatura ou dependências.

Atualizações oficiais podem corrigir essas condições.

46.3. Preserve as configurações de segurança

Não desative permanentemente mecanismos de proteção para executar um aplicativo.

O SmartScreen, Smart App Control, Microsoft Defender e políticas de controle de aplicativos possuem funções diferentes.

Desativar um mecanismo pode não resolver o problema e ainda reduzir a proteção.

46.4. Documente políticas corporativas

Empresas que utilizam WDAC ou AppLocker devem manter registros das regras aplicadas.

Antes de atualizar aplicativos críticos, é recomendável testar a compatibilidade com as políticas existentes.

46.5. Faça backup antes de alterações importantes

Antes de modificar configurações administrativas ou reparar aplicativos críticos, preserve os dados relevantes.

Um backup não corrige políticas de segurança, mas reduz o risco de perda de informações durante procedimentos de manutenção.

46.6. Monitore os eventos

Em computadores que executam aplicativos essenciais, o monitoramento de eventos pode ajudar a identificar problemas recorrentes.

Registros de Code Integrity, AppLocker, Defender e Application Error oferecem informações úteis para diagnóstico.

47. FAQ — Perguntas frequentes sobre aplicativos bloqueados no Windows 11

1. Por que o Windows 11 bloqueia um programa que sempre funcionou?

O bloqueio pode surgir após uma atualização do aplicativo, alteração de assinatura digital, mudança de política ou atualização do ambiente.

Também pode ocorrer por falhas de dependências ou problemas de inicialização que não representam bloqueios de segurança.

O ideal é consultar os eventos registrados no momento da falha.

2. Um aplicativo com assinatura digital válida pode ser bloqueado?

Sim.

Uma assinatura válida não garante que o aplicativo atenda a todas as políticas de segurança.

Uma regra WDAC ou AppLocker pode restringir sua execução mesmo quando a assinatura é considerada válida.

Além disso, a assinatura não comprova que o software seja seguro.

3. O SmartScreen e o Smart App Control são a mesma coisa?

Não.

O SmartScreen utiliza verificações de reputação e outros sinais para proteger contra conteúdos e aplicativos potencialmente perigosos.

O Smart App Control utiliza avaliações de confiança para ajudar a impedir a execução de aplicativos não confiáveis em sistemas elegíveis.

Eles possuem mecanismos e comportamentos diferentes.

4. Posso desativar o Smart App Control temporariamente?

A desativação não deve ser utilizada como teste rotineiro.

Dependendo do estado e da versão do sistema, reativar o Smart App Control pode exigir redefinição ou reinstalação do Windows.

Antes de considerar qualquer mudança, investigue a procedência do aplicativo e procure uma versão compatível.

5. O que significa o evento 3077 no Windows 11?

O evento 3077, no contexto do App Control, está associado a um bloqueio aplicado por política.

Quando o evento corresponde ao executável e ao horário da tentativa, constitui uma evidência importante.

O técnico deve identificar a política responsável e verificar por que o arquivo não atende aos critérios.

6. Qual é a diferença entre os eventos 3076 e 3077?

O evento 3076 está relacionado a uma violação registrada em modo de auditoria.

O evento 3077 está relacionado a um bloqueio efetivamente aplicado.

Por isso, não é correto interpretar o evento 3076 isoladamente como prova de que o Windows impediu a execução.

7. O que significa o evento 8004 do AppLocker?

O evento 8004, no canal de executáveis e DLLs, indica um bloqueio relacionado a uma regra aplicada pelo AppLocker.

A investigação deve considerar o arquivo, a conta afetada e a política efetiva.

Em computadores corporativos, a revisão da regra deve ser realizada pelo administrador autorizado.

8. Um certificado expirado impede o programa de funcionar?

Não necessariamente.

Assinaturas com carimbo de tempo confiável podem continuar válidas após a expiração do certificado de assinatura de código.

Entretanto, a validação depende de outras condições, incluindo integridade, cadeia de confiança e políticas aplicadas.

9. Problemas de Internet podem causar erros de certificado?

Sim, em determinadas situações.

Verificações de revogação e construção de cadeia podem depender de informações obtidas pela rede.

Falhas de DNS, proxy ou conectividade podem interferir nessas operações.

Porém, nem todo bloqueio de aplicativo envolve acesso à Internet.

10. Como descobrir se uma DLL está impedindo a abertura do programa?

O Process Monitor pode ajudar a identificar tentativas de carregamento de módulos e acessos a arquivos.

O Visualizador de Eventos também pode apresentar informações sobre falhas de aplicativo.

Se houver suspeita de bloqueio por política, consulte os registros de Code Integrity.

A análise conjunta permite diferenciar uma biblioteca ausente de uma biblioteca bloqueada.

11. O Microsoft Defender pode bloquear um aplicativo sem mostrar uma janela?

Sim, determinadas ações de proteção podem ocorrer sem uma janela tradicional de aviso.

Consulte o Histórico de proteção e os eventos operacionais do Defender.

Entretanto, o fato de um aplicativo não abrir não significa automaticamente que o antivírus o bloqueou.

12. Reinstalar o aplicativo resolve o problema?

Depende da causa.

A reinstalação pode corrigir arquivos corrompidos e dependências ausentes.

Entretanto, não necessariamente resolve bloqueios por WDAC, AppLocker ou Smart App Control.

A correção deve ser escolhida depois do diagnóstico.

13. Por que o aplicativo funciona em outro computador?

Os computadores podem possuir versões diferentes do Windows, políticas distintas, certificados, dependências ou configurações de segurança diferentes.

Compare os ambientes antes de concluir que o problema está no aplicativo.

14. É seguro baixar uma DLL da Internet para corrigir o erro?

Não é recomendável obter DLLs isoladas de fontes desconhecidas.

O procedimento mais seguro consiste em instalar ou reparar o aplicativo e suas dependências utilizando pacotes oficiais.

Isso reduz o risco de incompatibilidades e arquivos maliciosos.

15. Quando procurar assistência técnica?

Procure suporte quando o aplicativo for essencial, quando houver bloqueios recorrentes ou quando os eventos indicarem problemas de assinatura, políticas, dependências ou implantação.

Uma investigação profissional pode identificar a causa sem recorrer à desativação indiscriminada de recursos de segurança.

48. Conclusão: como resolver aplicativos bloqueados sem comprometer a segurança

Quando o Windows 11 bloqueia aplicativos aparentemente confiáveis, o problema pode estar relacionado a diferentes mecanismos de proteção.

O SmartScreen utiliza sinais de reputação. O Smart App Control avalia a confiança de aplicativos. O App Control for Business e o AppLocker podem aplicar regras administrativas de execução.

Além disso, problemas de certificados Authenticode, cadeia de confiança, revogação, DLLs e pacotes MSIX/AppX podem impedir o funcionamento de programas.

O diagnóstico correto depende da análise das evidências.

PowerShell, Visualizador de Eventos, Process Monitor, Sigcheck e ferramentas de certificados ajudam a identificar a origem do problema.

A solução definitiva é aquela que corrige a causa específica, mantém a integridade do sistema e preserva os mecanismos de segurança do Windows.

49. Precisa de ajuda com aplicativos bloqueados no Windows 11? Conte com a VMIA

Seu computador deixou de abrir um programa importante? Um aplicativo apresenta mensagens de bloqueio, problemas de certificado ou falhas de execução?

A VMIA — Manutenção e Configuração de Computadores oferece suporte técnico para identificar problemas de software, configurações de segurança, Windows 10/11 e falhas de aplicativos.

Entre os serviços estão diagnóstico de erros do Windows, instalação e configuração de programas, análise de eventos, manutenção preventiva e suporte remoto.

O atendimento é realizado mediante agendamento, com disponibilidade 24 horas, de acordo com a modalidade e a viabilidade do serviço.

VMIA — Suporte Técnico

São Paulo — SP | Atendimento remoto e presencial com agendamento

(11) 99779-7772

suporte@vmia.com.br

Falar com a VMIA pelo WhatsApp

Site VMIABlog técnicoAvaliações

54. Links externos de referência

Fontes oficiais recomendadas para fundamentar e atualizar o artigo:

• Microsoft Learn — App Control for Business
• Microsoft Learn — Documentação de controle de aplicativos
• Microsoft Sysinternals — Process Monitor
• Microsoft Sysinternals — Sigcheck
• Microsoft Learn — Get-AuthenticodeSignature