В состав антивируса входит несколько утилит, включая гибкий и масштабируемый многопоточный демон, сканер командной строки и продвинутый инструмент для автоматических обновлений баз данных. Для установки и обновления утилит антивируса разработчики рекомендуют использовать репозитарии пакетов. В Debian/Ubuntu для поиска нужных приложений используем команду:
$ sudo apt-cache search clamav
И ставим основной набор:
$ sudo apt-get install clamav
В процессе инсталляции будет создан системный пользователь и группа clamav. Теперь стало возможным проверять файлы. ClamAV предлагает несколько вариантов. Самый простой — использование утилиты clamscan. В архиве антивируса, в подкаталоге test, есть несколько тестовых вирусов, при помощи которых можно проверить работу ClamAV. Если вызвать clamscan без параметров, будет проверен текущий каталог. Такой режим позволяет оценить работу утилиты с различными типами файлов, чтобы определиться с ее возможностями на начальном этапе. Затем лучше добавить параметр -i для вывода только заражённых файлов:
$ clamscan -i
…
/home/zbober/virus/KIT.EXE: Kit.1 FOUND
/home/zbober/virus/J!CT-C.COM: CaptainTrips FOUND
———— SCAN SUMMARY ————
Known viruses: 295018
Engine version: 0.92.1
Scanned directories: 1
Scanned files: 3732
Infected files: 3691
Data scanned: 3.22 MB
Time: 40.905 sec (0 m 40 s)
Для звукового оповещения о найденном вирусе воспользуйся опцией --bell.
Кстати, никто не мешает поступить и так:
$ cat CK.COM | clamscan -
stdin: Ck FOUND
Проверить любой другой каталог (при наличии прав) можно, просто указав путь к нему в строке запуска. По умолчанию подкаталоги не проверяются, но этого легко добиться за счет параметра -r, разрешающего рекурсивный обход:
$ clamscan -r -i ~/soft
Также полезными могут оказаться опции –exclude=путь и –include=путь. Первая позволяет указать шаблоны файлов, которые нужно исключить из поиска, а вторая, наоборот, только те, которые нужно сканировать при поиске вирусов.
По умолчанию глубина рекурсии для каталога составляет 15, для файлов архива – 8. Такое ограничение установлено для того, чтобы избежать DoS-атак. Но его можно изменить при помощи параметров --max-recursion (для архивов), --max-dir-recursion (каталоги) и --max-mail-recursion (e-mail).
В обычном режиме программа просто сообщает о найденном вирусе. Используя дополнительные ключи, можно выполнить следующие действия: удалить вирус (--remove), переместить (--move=путь) или скопировать (--copy=путь) файлы в другой каталог.
При работе утилита «молчалива». Это очень неудобно при запуске через cron. Но ничего страшного: опция --log=куда заведет журнал событий.
Если ты создал свою антивирусную базу (об этом чуть ниже), указать на нее можно с помощью --database. Параметров у clamscan много; за подробностями обращайся к clamscan(1). Добавляя ключи, можно помечать вирусы и блокировать битые исполняемые файлы (—detect-broken), обычные (—block-max), зашифрованные архивы (—block-encrypted) и многое другое.
Обновление баз
Для обновления антивирусных баз разработчиками предлагается утилита freshclam. Она идет в отдельном пакете clamav-freshclam, но обычно указана в зависимостях основных пакетов clamav. Обновление можно производить в двух режимах: интерактивном, запуская ее в строке терминала, – и как демон.
Утилита для автоматического выбора зеркала использует базу database.clamav.net. Затем производится попытка соединиться с первым зеркалом в списке (в случае неудачи – со следующим). Вначале необходимо запустить утилиту без параметров:
$ sudo freshclam
Если все нормально, в дальнейшем для запуска freshclam и ежедневного обновления можно использовать cron:
$ sudo crontab -e
0 0 0 * * * /usr/local/bin/freshclam —quiet \
-l /var/log/clam-update.log
Как вариант: запускать ее в режиме демона. Для этого лишь следует добавить параметр ‘–d‘:
$ sudo freshclam -d -c 2 -l /var/log/clam-update.log
Параметр ‘-с‘ указывает на количество обновлений в день (число от 1 до 50). При необходимости в строке запуска можно указать прокси и другие параметры. Как правило, в пакеты майнтайнеры добавляют свои скрипты для запуска freshclam. В Ubuntu для запуска демона достаточно выполнить команду:
$ sudo /etc/init.d/clamav-freshclam start
При загрузке freshclam считывает параметры из файла /etc/clamav/freshclam.conf, которые можно переопределить в строке запуска. За количество обновлений в день отвечает параметр Checks. Например, чтобы обновлять базу каждый час, пишем:
Checks 24 Моллюсковый демон
Вводить каждый раз параметры неудобно, да и не нужно. При больших объемах проверяемых данных разработчики предлагают использовать многопоточный демон clamd. В отличие от сканера, демон загружает все необходимые базы и настройки один раз при старте, а затем постоянно находится в полной боевой готовности. В Ubuntu он входит в отдельный пакет:
$ sudo apt-get install clamav-daemon
Демон загрузится и будет ожидать запросы. Если установка производилась из сырцов, то clamd при первом запуске работать откажется:
$ sudo /usr/local/sbin/clamd
ERROR: Please edit the example config file /etc/clamav/clamd.conf
ERROR: Can’t parse the config file /etc/clamav/clamd.conf
Поэтому сразу после установки пакета нужно убрать или закомментировать строку Example в самом начале /etc/clamav/clamd.conf.
Анализ конфига не всегда дает представление обо всех настройках. Например, установки по умолчанию в файле могут быть опущены. Чтобы узнать действующие настройки, необходимо заюзать утилиту clamconf. При запуске без параметров она выведет все настройки из файлов clamd.conf, freshclam.conf, в том числе и установки по умолчанию (если не применять «—non-default»), а также используемую версию антивирусных баз.
Не всегда установки в clamd.conf оптимальны! В зависимости от назначения компьютера их следует пересмотреть и скорректировать, чтобы не удивляться потом, что зашифрованные архивы не получается скачать с файлового сервера или получить по почте. Обо всех параметрах рассказывать не буду, – их слишком много, к тому же, назначение части из них очевидно и так. Остановлюсь только на самых важных. Демон может работать в сетевом или локальном режиме. В целях безопасности для проверки рекомендуется использовать локальный сокет:
LocalSocket /var/run/clamav/clamd.ctl
FixStaleSocket true
Хотя для некоторых программ clamd придется подвешивать на сетевой интерфейс (в данном случае – интерфейс обратной петли):
TCPSocket 3310
TCPAddr 127.0.0.1
MaxConnectionQueueLength 30
Месторасположение антивирусных баз указывается при помощи DatabaseDirectory:
DatabaseDirectory /var/lib/clamav
Чтобы подключить clamd к Clamuko (интерфейс к Dazuko) для on-demand сканирования, добавляем следующие строки:
$ sudo vim /etc/clamav/clamd.conf
ClamukoScanOnAccess yes
# Выбираем, в каких случаях проверять файл
ClamukoScanOnOpen yes
ClamukoScanOnClose yes
ClamukoScanOnExec yes
# Данные каталоги будут проходить проверку
ClamukoIncludePath /home
ClamukoIncludePath /var/ftp/upload
# Данные каталоги будут исключены из проверки
ClamukoExcludePath /home/zbober/.ssh
# Максимальный размер проверяемого файла (0 – без лимита, 5 Мб – по умолчанию)
ClamukoMaxFileSize 50M
Чтобы заставить демона работать, пошли ему сигнал или используй утилиту clamdscan. Достаточно указать на каталог или файл, который нужно проверить:
$ clamdscan ~/soft
При необходимости можно переопределить режим работы демона для конкретной задачи, указав требуемые параметры в строке запуска clamdscan.
Правим базы
В ClamAV есть возможности, отсутствующие в других антивирусах: добавление собственной сигнатуры и правка CVD (ClamAV Virus Database) баз. Для этого в комплекте поставляется специальная утилита sigtool. Конечно, обычному юзеру не дело заниматься созданием сигнатур, но зато ты не останешься один на один с вирусами во время очередной эпидемии. И получишь неплохую практику. В архиве исходных текстов находится документ «Creating signatures for ClamAV», в котором описано, как получить сигнатуру из тестовых «вирусов», поставляемых вместе с ClamAV.
Мне повезло: в коллекции нашелся вирус, который не распознавался ClamAV. Анализ файла при помощи онлайн-сервиса Virustotal www.virustotal.com/ru показал, что о нем «знают» 17 из 32 антивирусов. Что интересно, первый анализ этого файла на ресурсе датирован еще 2006 годом. Антивирус Avast назвал его «Win32:Trojan-gen», AVG – «IRC/BackDoor.SdBot3.DDW». Кстати, Касперский и Dr.Web молчат, как рыбы; интересно узнать, почему.
Самый простой способ создать сигнатуру – записать его MD5 сумму:
$ sigtool —md5 test.exe > test.hdb
Смотрим, что внутри:
$ cat test.hdb
adcbe9468bba150083d53f4294e15ffa:64000:test.exe
Теперь проверяем, подключив новую базу:
$ clamscan -d test.hdb test.exe
test.exe: test.exe FOUND
Вирус определился, но стоит ему только заразить другой файл, как схема будет неэффективна. В этом случае необходимо сохранить в базу специфическую часть. Чтобы получить дамп, нужно добавить параметр «—hex-dump».
$ cat test.exe | sigtool —hex-dump > virus.sig
Либо воспользоваться любым другим редактором или приложением. Например, подойдет и файловый менеджер Midnight Commaner. Авторы некоторых вирусов оставляют комментарии, которые можно найти при помощи штатной утилиты string, а потом перевести в hex. Запись в базе вирусов ClamAV в самом простом случае выглядит так:
Имя вируса=Hex-сигнатура
Этот метод работает на ура. Можно создать свою базу или занести новые сигнатуры в базу данных daily.
В ClamAV используются две базы: постоянная (main) и для ежедневных обновлений (daily). Их расположение можно узнать из переменной DatabaseDirectory. В пакетах из репозитария эти базы, как правило, находятся в распакованном виде (в Ubuntu – /var/lib/clamav). В архиве исходных текстов они поставляются в упакованном виде (файлы с расширением cvd). После установки их можно найти в каталоге /usr/share/clamav. Для распаковки баз используется sigtool с ключом «—unpack»:
$ sigtool -–unpack=daily.cvd
После чего в текущем каталоге появится несколько файлов. Если открыть любой в текстовом редакторе, то можно увидеть, что он состоит из строк «имя:хэш». Добавляем в одну из них сигнатуру и просчитываем новую контрольную сумму измененного файла:
$ cat virus.sig >> daily.db
$ md5sum daily.db >> daily.info
После чего правим daily.info, чтобы запись выглядела так:
daily.db:e82aa698a151e242aaee0edd3c36fe85
Не забудь удалить предыдущую запись. Теперь можно пользоваться обновленной базой.
Заключение
Для удобства пользователей разработано несколько неплохих фронт-эндов. Самый известный из них – KlamAV (klamav.sf.net), построенный на QT-библиотеках и предназначенный для работы в среде KDE. Поддерживается «on access» и ручной режим сканирования, обновление антивирусных баз, карантин, просмотр почты для KMail и Ximian Evolution. Clamaktion (web.tiscali.it/rospolosco/clamaktion) позволяет пользователям KDE 3.1 и старше проверять файлы и каталоги при помощи контекстного меню.
Надеюсь, теперь проблем с проверкой файлов на вирусы в *nix не у тебя будет.
Установка Dazuko в Ubuntu
Чтобы ClamAV сканировал файл при доступе, необходим модуль Dazuko. В портах ранних версий Ubuntu (от Dapper до Gutsy) присутствовал пакет с исходными текстами dazuko-source, а вот в Hardy он пропал. Чтобы его установить, придется пересобрать ядро (так как Security Capabilities должен быть собран в виде модуля). В /usr/src/linux/.config это должно выглядеть так: «CONFIG_SECURITY_CAPABILITIES=m».
Далее скачиваем и распаковываем в /usr/src архив с исходными текстами Dazuko:
$ mv dazuko-2.3.4.tar.gz /usr/src/
$ tar xvf dazuko-2.3.4.tar.gz
$ cd /usr/src/dazuko-2.3.4
Конфигурируем, компилируем:
$ sudo ./configure
$ sudo make
$ sudo make test
Если нет ошибок, ставим:
$ sudo make install
Загружаем модуль, перед этим выгрузив capability.
$ sudo rmmod capability
$ sudo modprobe dazuko
$ sudo modprobe capability
В некоторых случаях работе может мешать AppArmor:
$ sudo rmmod apparmor
После загрузки модуля должен появиться файл /dev/dazuko.
Сборка пакета в Debian/Ubuntu
Иногда приходится прибегать к установке из исходных текстов. Например, когда в репозитарии находится старая версия, не имеющая некоторого функционала или содержащая уязвимости. Также при запуске некоторые утилиты могут жаловаться на то, что «Your ClamAV installation is OUTDATES». Лучшим выходом из такой ситуации будет самостоятельная сборка пакета. В Debian/Ubuntu сделать это довольно просто. Сначала скачиваем библиотеки и утилиты для компиляции ClamAV:
$ sudo apt-get build-dep clamav
И программы для сборки пакета:
$ sudo apt-get install fakeroot dh-make
Получаем с сайта проекта последнюю версию ClamAV, распаковываем, заходим внутрь каталога и даем команду:
$ dh_make –createorig
На запрос о типе пакета нажимаем (single), затем подтверждаем параметры, нажав . Теперь собираем пакет:
$ dpkg-buildpackage –rfakeroot –d
После сборки устанавливаем пакет при помощи dpkg.
INFO
В своей работе демон использует конфигурационный файл /etc/clamav/clamd.conf. Конфиг хорошо прокомментирован, все параметры подробно расписаны в clamd.conf(5).
При помощи утилиты sigtool можно самостоятельно добавить информацию о неизвестном вирусе в базу ClamAV.
В архиве с исходными текстами есть init-скрипты для *BSD, Solaris, RedHat и SuSE. При желании их легко адаптировать под свой дистрибутив.
Что интересно, в одних тестах ClamAV выступает, как минимум, на «хорошо», показывая приличную скорость сканирования и впечатляющие результаты определения, а в других – явно проигрывает.
Помочь проекту в дальнейшем развитии можно по-разному. Например, если тебе попался вирус, не обнаруживаемый ClamAV, или, наоборот, файл, ошибочно принимаемый за вирус, то имеет смысл отправить его разработчикам, заполнив форму по адресу www.clamav.net/sendvirus.
»