Come individuare i virus su Linux dalla riga di comando

Per trovare virus su Linux dalla riga di comando, installa ClamAV , aggiorna il suo database delle firme con FreshClam ed esegui ClamScan sui file o sulle cartelle che desideri controllare. Aggiungi l'opzione --recursiveper includere le sottocartelle e --infectedper visualizzare i rilevamenti senza elencare ogni singolo file pulito. ClamScan esegue una scansione una tantum e non richiede che il clamdservizio sia in esecuzione. Un report pulito significa che ClamAV non ha trovato firme corrispondenti nel contenuto analizzato; non è una prova che ogni file sia sicuro.

ClamAV rileva virus e altri malware nei file dei sistemi Linux, ma è un toolkit per la scansione antimalware piuttosto che una suite completa per la sicurezza degli endpoint. Per maggiori informazioni sulle sue funzionalità, consultare la panoramica di ClamAV .

1. Installa ClamAV dalla tua distribuzione

Utilizza il gestore di pacchetti della tua distribuzione quando è disponibile un pacchetto ClamAV aggiornato. Gli sviluppatori originali segnalano che i nomi dei pacchetti e i percorsi di configurazione possono variare a seconda della distribuzione, quindi consulta la documentazione del pacchetto della tua distribuzione se un comando è diverso. Ecco alcuni esempi comuni di pacchetti:

Se il gestore di pacchetti segnala che uno dei nomi dei pacchetti di aggiornamento non è disponibile, installa il pacchetto corrispondente freshclamalla tua versione. Evita di copiare vecchi comandi di compilazione da fonti obsolete: i requisiti di compilazione e la configurazione di ClamAV sono cambiati nel tempo.

Verificare che lo scanner sia installato:

clamscan --version

2. Aggiorna le firme antivirus di ClamAV

FreshClam scarica e aggiorna i database ufficiali delle firme di ClamAV. Se la tua distribuzione non esegue già l'aggiornamento di FreshClam, avvia un aggiornamento manuale con:

sudo freshclam

Alcuni pacchetti configurano un servizio di aggiornamento in background. Se un aggiornamento manuale segnala che un altro processo di aggiornamento è già in esecuzione, lascia che il servizio termini invece di avviare ripetutamente FreshClam. Verifica il nome del servizio utilizzato dalla tua distribuzione; su alcuni sistemi è clamav-freshclam. Mantieni aggiornate le firme prima di ogni scansione manuale. La documentazione di FreshClam spiega come funzionano gli aggiornamenti del database.

3. Scansiona un file o una cartella

Per ispezionare un file scaricato, sostituisci sample.zipcon il file che desideri controllare:

clamscan --infected "$HOME/Downloads/sample.zip"

Non è necessario sudoche il tuo account possa leggere i file. Se ricevi errori di autorizzazione, esegui la scansione di un percorso di tua proprietà oppure esegui nuovamente il comando con privilegi elevati, se necessario.

Per scansionare una directory e tutto ciò che contiene, utilizzare --recursive(forma abbreviata -r):

clamscan --recursive --infected "$HOME/Downloads"

Senza l'opzione ricorsiva, ClamScan controlla i file nella directory specificata ma non accede alle sue sottodirectory. Aggiungila --verbosese desideri visualizzare più attività di scansione oppure usala --log=FILEper salvare un report.

4. Controlla la tua cartella home o altre posizioni

La tua directory home è un buon punto di partenza perché contiene i file scaricati e quelli che apri. Questo comando analizza la cartella home dell'utente corrente e le directory annidate:

clamscan --recursive --infected "$HOME"

Per un controllo più completo delle posizioni dei file utente e temporanei, specifica più directory in un unico comando:

sudo clamscan --recursive --infected /home /tmp /var/tmp

Aggiungi il percorso di un'unità montata, ad esempio /media/$USER/DRIVE_NAME, se desideri ispezionare la memoria rimovibile. È anche possibile eseguire una scansione dell'intero filesystem root con sudo clamscan --recursive --infected /, ma può richiedere molto tempo e potrebbe segnalare file che non riesce a leggere o filesystem virtuali speciali. Premi Ctrl+Cper interromperla. Considera gli errori di accesso come file non scansionati, non come risultati puliti. ClamAV applica anche dei limiti di scansione ad alcuni contenuti di grandi dimensioni o complessi; rivedi le opzioni e i limiti di ClamScan prima di interpretare una scansione estesa.

5. Salvare e interpretare il rapporto di scansione

Per conservare una copia del report per una successiva consultazione, aggiungi un percorso di log. Questo scriverà scan.lognella directory corrente:

clamscan -r -i --log=scan.log ~/Downloads

Apri il report salvato con less scan.log, oppure leggi il riepilogo stampato da ClamScan al termine dell'analisi. Se il riepilogo indica Infected files: 0, nessuna firma caricata corrisponde ai file analizzati correttamente. Una riga che termina con FOUNDindica il nome del file e la firma di rilevamento; si tratta di un avviso per approfondire la questione, non di un motivo per aprire il file.

• Se ClamAV segnala un rilevamento, non eseguire né visualizzare in anteprima il file. Isolalo dall'uso normale, annota il percorso e il nome della firma e verifica la sua provenienza.
• Non utilizzare --removequesta opzione come risposta predefinita. Possono verificarsi falsi positivi e la cancellazione automatica può distruggere un file necessario. ClamAV documenta alternative simili alla quarantena e spiega come esaminare i sospetti falsi positivi nella sua guida agli avvisi di scansione .
• Se la scansione segnala errori di autorizzazione, lettura o database, risolverli ed eseguire nuovamente la scansione. Un file che ClamAV non è riuscito a ispezionare non è stato eliminato.

Per un controllo ordinario, aggiorna prima le firme, scansiona ricorsivamente la cartella Download e la tua directory home, quindi esamina eventuali avvisi e il riepilogo finale. clamonaccIl client di ClamAV può fornire il monitoraggio in tempo reale clamd, ma ciò richiede una configurazione separata. Un semplice clamscancomando controlla solo i percorsi specificati.