Como encontrar vírus no Linux pela linha de comando

Para encontrar vírus no Linux a partir da linha de comando, instale o ClamAV , atualize seu banco de dados de assinaturas com o FreshClam e execute o ClamScan nos arquivos ou pastas que deseja verificar. Adicione ` --recursive--include` para incluir subpastas e --infected`--show` para exibir as detecções sem listar todos os arquivos limpos. O ClamScan realiza uma verificação única e não precisa que o clamdserviço esteja em execução. Um relatório limpo significa que o ClamAV não encontrou nenhuma assinatura correspondente no conteúdo verificado; isso não prova que todos os arquivos são seguros.

O ClamAV detecta vírus e outros malwares em arquivos de sistemas Linux, mas é um conjunto de ferramentas para verificação de malware, e não um pacote completo de segurança para endpoints. Consulte a visão geral do ClamAV para obter detalhes sobre seu escopo.

1. Instale o ClamAV a partir da sua distribuição.

Use o gerenciador de pacotes da sua distribuição quando houver um pacote ClamAV disponível e com suporte. Os responsáveis ​​pelo projeto observam que os nomes dos pacotes e os caminhos de configuração podem variar de acordo com a distribuição; portanto, verifique a documentação do pacote da sua distribuição caso algum comando seja diferente. Estes são alguns exemplos de pacotes comuns:

Se o seu gerenciador de pacotes indicar que um dos pacotes de atualização está indisponível, instale o pacote correspondente freshclamà sua versão. Evite copiar comandos de compilação de código-fonte antigos de guias desatualizados: os requisitos e a configuração de compilação atuais do ClamAV mudaram ao longo do tempo.

Confirme se o scanner está instalado:

clamscan --versão

2. Atualize as assinaturas de vírus do ClamAV

O FreshClam baixa e atualiza os bancos de dados de assinaturas oficiais do ClamAV. Se a sua distribuição ainda não executa o atualizador FreshClam, inicie uma atualização manual com:

sudo freshclam

Alguns pacotes configuram um serviço de atualização em segundo plano. Se uma atualização manual informar que outro processo de atualização já está em execução, deixe o serviço terminar em vez de iniciar o FreshClam repetidamente. Verifique o nome do serviço usado pela sua distribuição; em alguns sistemas, é `service` clamav-freshclam. Mantenha as assinaturas atualizadas antes de cada verificação manual. A documentação do FreshClam explica como as atualizações do banco de dados funcionam.

3. Digitalize um arquivo ou pasta

Para inspecionar um arquivo baixado, substitua `<nome_do_arquivo>` sample.zippelo arquivo que deseja verificar:

clamscan --infected "$HOME/Downloads/sample.zip"

Você não precisa sudode permissões para arquivos que sua conta possa ler. Se receber erros de permissão, verifique um diretório que você controla ou execute o comando novamente com privilégios elevados, quando apropriado.

Para examinar um diretório e tudo o que estiver abaixo dele, use --recursive(forma abreviada -r):

clamscan --recursive --infected "$HOME/Downloads"

Sem a opção recursiva, o ClamScan verifica os arquivos no diretório especificado, mas não acessa seus subdiretórios. Adicione `--recursive` --verbosese quiser visualizar mais informações sobre a atividade de verificação ou use `--recursive` --log=FILEpara salvar um relatório.

4. Verifique sua pasta pessoal ou outros locais.

Seu diretório pessoal é um bom ponto de partida, pois contém downloads e arquivos que você abre. Este comando examina a pasta pessoal do usuário atual e seus diretórios aninhados:

clamscan --recursive --infected "$HOME"

Para uma verificação mais abrangente dos locais de usuários e arquivos temporários, passe vários diretórios em um único comando:

sudo clamscan --recursive --infected /home /tmp /var/tmp

Adicione o caminho de uma unidade montada, como /media/$USER/DRIVE_NAME, se desejar inspecionar o armazenamento removível. Uma verificação completa do sistema de arquivos raiz também é possível com sudo clamscan --recursive --infected /, mas pode demorar bastante e pode reportar arquivos que não consegue ler ou sistemas de arquivos virtuais especiais. Pressione Ctrl+Cpara interromper. Trate erros de acesso como arquivos não verificados, não como resultados limpos. O ClamAV também aplica limites de verificação a alguns conteúdos grandes ou complexos; revise as opções e limites do ClamScan antes de interpretar uma verificação ampla.

5. Salve e interprete o relatório de digitalização.

Para manter um relatório para revisão posterior, adicione um caminho de log. Isso gravará o log scan.logno seu diretório atual:

clamscan -r -i --log=scan.log ~/Downloads

Abra o relatório salvo com less scan.log, ou leia o resumo que o ClamScan imprime ao terminar. Se o resumo disser Infected files: 0, nenhuma assinatura carregada correspondeu aos arquivos que foram verificados com sucesso. Uma linha terminada em FOUNDnome de um arquivo e da assinatura de detecção; é um alerta para investigar, não um motivo para abrir o arquivo.

• Se o ClamAV detectar algo, não execute nem visualize o arquivo. Isole-o do uso normal, anote o caminho e o nome da assinatura e verifique a origem dele.
• Não utilize --removeessa opção como resposta padrão. Podem ocorrer falsos positivos e a exclusão automática pode destruir um arquivo importante. O ClamAV documenta alternativas de quarentena e explica como analisar possíveis falsos positivos em seu guia de alertas de verificação .
• Se a verificação reportar erros de permissão, leitura ou banco de dados, resolva-os e verifique novamente. Um arquivo que o ClamAV não conseguiu inspecionar não foi apagado.

Para uma verificação comum, atualize as assinaturas primeiro, verifique a pasta Downloads e seu diretório pessoal recursivamente e, em seguida, revise quaisquer alertas e o resumo final. clamonaccO cliente do ClamAV pode fornecer monitoramento em tempo real clamd, mas isso requer configuração separada. Um comando simples clamscanverifica apenas os caminhos que você especificar.