Как обнаружить вирусы в Linux из командной строки

Чтобы обнаружить вирусы в Linux из командной строки, установите ClamAV , обновите его базу данных сигнатур с помощью FreshClam и запустите ClamScan для файлов или папок, которые вы хотите проверить. Добавьте параметр --recursive, чтобы включить подпапки и --infectedотображать обнаруженные файлы без перечисления всех чистых файлов. ClamScan выполняет одноразовое сканирование и не требует clamdзапущенной службы. Чистый отчет означает, что ClamAV не обнаружил совпадающих сигнатур в сканированном содержимом; это не является доказательством безопасности каждого файла.

ClamAV обнаруживает вирусы и другое вредоносное ПО в файлах на системах Linux, но это скорее набор инструментов для сканирования вредоносных программ, чем полноценный пакет защиты конечных устройств. Подробнее о его возможностях см. в обзоре ClamAV .

1. Установите ClamAV из вашего дистрибутива.

Используйте менеджер пакетов вашего дистрибутива, если доступен поддерживаемый пакет ClamAV. Разработчики отмечают, что названия пакетов и пути к конфигурации могут различаться в зависимости от дистрибутива, поэтому, если команда отличается, проверьте документацию по пакетам вашего дистрибутива. Вот примеры распространенных пакетов:

Если ваш менеджер пакетов сообщает, что одно из имен пакетов обновления недоступно, установите пакет, который поддерживает freshclamвашу версию. Избегайте копирования старых команд сборки из устаревших руководств: текущие требования к сборке и конфигурации ClamAV со временем изменились.

Убедитесь, что сканер установлен:

clamscan --version

2. Обновите вирусные сигнатуры ClamAV.

FreshClam загружает и обновляет официальные базы данных сигнатур ClamAV. Если в вашем дистрибутиве еще не запущена программа обновления FreshClam, запустите обновление вручную с помощью команды:

sudo freshclam

В некоторых пакетах настраивается фоновая служба обновления. Если при ручном обновлении сообщается, что уже запущен другой процесс обновления, дождитесь завершения работы этой службы, вместо того чтобы повторно запускать FreshClam. Проверьте имя службы, используемое вашим дистрибутивом; в некоторых системах это clamav-freshclam. Поддерживайте актуальность сигнатур перед каждым ручным сканированием. В документации FreshClam объясняется, как работают обновления базы данных.

3. Сканирование файла или папки

Чтобы проверить один загруженный файл, замените sample.zipна имя файла, который вы хотите проверить:

clamscan --infected "$HOME/Downloads/sample.zip"

Вам не нужны sudoправа доступа к файлам, которые может прочитать ваша учетная запись. Если вы получаете ошибки доступа, либо просканируйте путь, принадлежащий вам, либо повторно запустите команду с повышенными привилегиями, если это необходимо.

Для сканирования каталога и всего содержимого внутри него используйте --recursive(сокращенная форма -r):

clamscan --recursive --infected "$HOME/Downloads"

Без опции рекурсивного сканирования ClamScan проверяет файлы в указанном каталоге, но не переходит в его подкаталоги. Добавьте эту опцию, --verboseесли хотите видеть больше активности сканирования, или используйте ее --log=FILEдля сохранения отчета.

4. Проверьте свою домашнюю папку или другие места.

Домашняя директория — удобное место для начала поиска, поскольку она содержит загруженные файлы и файлы, которые вы открываете. Эта команда сканирует домашнюю папку текущего пользователя и вложенные директории:

clamscan --recursive --infected "$HOME"

Для более полной проверки расположения пользовательских и временных файлов передайте несколько каталогов в одной команде:

sudo clamscan --recursive --infected /home /tmp /var/tmp

Добавьте путь к смонтированному диску, например /media/$USER/DRIVE_NAME, , если хотите проверить съемные носители. Сканирование всей корневой файловой системы также возможно с помощью sudo clamscan --recursive --infected /, но это может занять много времени и может сообщить о файлах, которые программа не может прочитать, или о специальных виртуальных файловых системах. Нажмите , Ctrl+Cчтобы остановить сканирование. Рассматривайте ошибки доступа как непросканированные файлы, а не как чистые результаты. ClamAV также применяет ограничения сканирования к некоторым большим или сложным файлам; перед интерпретацией результатов широкого сканирования ознакомьтесь с параметрами и ограничениями ClamScan .

5. Сохраните и проанализируйте отчет о сканировании.

Чтобы сохранить отчет для последующего просмотра, добавьте путь к файлу журнала. Это позволит записывать данные scan.logв текущий каталог:

clamscan -r -i --log=scan.log ~/Downloads

Откройте сохраненный отчет с помощью клавиши less scan.log, или прочтите сводку, которую ClamScan выводит после завершения работы. Если в сводке указано , значит Infected files: 0, ни одна загруженная сигнатура не соответствует файлам, которые были успешно просканированы. Строка, заканчивающаяся на , FOUNDуказывает на файл и сигнатуру обнаружения; это предупреждение, требующее расследования, а не причина для открытия файла.

• Если ClamAV сообщит об обнаружении файла, не запускайте и не просматривайте его. Изолируйте его от обычного использования, запишите путь к нему и имя сигнатуры, а также проверьте, откуда он взялся.
• Не используйте это --removeв качестве ответа по умолчанию. Могут возникать ложные срабатывания, а автоматическое удаление может уничтожить нужный вам файл. ClamAV описывает альтернативные способы создания карантина и объясняет, как проверять подозрительные ложные срабатывания в руководстве по оповещениям о сканировании .
• Если сканирование выявило ошибки доступа, чтения или базы данных, устраните их и повторите сканирование. Файл, который ClamAV не смог проверить, не был очищен.

Для обычной проверки сначала обновите сигнатуры, рекурсивно просканируйте папку «Загрузки» и ваш домашний каталог, затем просмотрите все оповещения и итоговую сводку. clamonaccКлиент ClamAV может обеспечить мониторинг при доступе clamd, но для этого требуется отдельная настройка. Простая clamscanкоманда проверяет только указанные вами пути.