Dažniausiai taip nutinka dėl dviejų priežasčių. Dažnai diegimo failas būna sudėtinis: daugelis oficialių atsisiuntimo puslapių tikrąjį diegyklės failą įpakuoja kartu su atsisiuntimo programa, kuri papildomai siūlo įrankių juostas ar „optimizavimo“ programėles, o tokie paketai aptinkami kaip potencialiai nepageidaujamos programos, ne kaip malware. Kita dažna priežastis – klaidingas suveikimas ką tik pasirašytai programos versijai; jis paprastai išnyksta per parą kitą, kai gamintojas failą pateikia patikrai aptikimo sistemai.
Pirmiausia pasižiūrėkite aptikimo pavadinimą. Jei jis prasideda PUA, PUP arba Adware, pats failas greičiausiai yra tikras, o aptikimas susijęs su tuo, ką jis diegia kartu. Jei nurodoma Trojos arklio šeima, failą parsisiųskite dar kartą iš gamintojo per HTTPS ir palyginkite kontrolinę sumą, kurią gamintojas skelbia viešai. Niekada nekurkite išimties failui, kurio negalite patikrinti.