Como instalar e configurar o ClamAV para verificar seu servidor regularmente em busca de malware

Este artigo pressupõe que você usará o Ubuntu Server 20.04 ou 24.04.

Motivação

Faça a varredura de vírus e malware regularmente e diretamente no servidor, consumindo poucos recursos.

Alternativas

LMD (maldet) em seu servidor ou nos plug-ins do WordPress Wordfence e NinjaScanner são boas opções.

Instalar o ClamAV

O ClamAV faz parte do WordOps Stack e pode ser instalado com (precisamos instalar também dois pacotes adicionais):

sudo stack install --clamav
sudo apt install clamav-daemon clamdscan -y

Você também pode instalá-lo no Ubuntu com o APT:

sudo apt update
sudo apt install clamav clamav-daemon clamdscan -y

Adicionar assinaturas de banco de dados personalizadas

Para aprimorar os recursos de detecção de malware e vírus, você pode incorporar opcionalmente as assinaturas de banco de dados oferecidas pelo Detecção de malware para Linux (LMD) da RFXNcomumente chamado de maldet. Anexe a seguinte configuração ao final do arquivo /etc/clamav/freshclam.conf file:

DatabaseCustomURL https://www.rfxn.com/downloads/rfxn.ndb
DatabaseCustomURL https://www.rfxn.com/downloads/rfxn.hdb
DatabaseCustomURL https://www.rfxn.com/downloads/rfxn.yara

Executar uma verificação completa de seus arquivos

Vamos agora atualizar manualmente o banco de dados de vírus antes de executá-lo (pode ser necessário interromper o clamav-freshclam para que possamos executá-lo manualmente):

sudo systemctl stop clamav-freshclam.service
sudo freshclam

E execute uma verificação completa em nosso diretório de sites:

sudo clamscan -r /var/www

Habilite o ClamAV como um serviço e agende um trabalho cron

Há duas maneiras de executar o ClamAV, com o comando autônomo clamscan ou com a alternativa clamdscanque acessa o daemon de serviço e armazena o banco de dados de vírus diretamente na memória, com um desempenho muito melhor. Vamos iniciar e ativar os daemons necessários com o seguinte:

sudo systemctl start clamav-freshclam.service
sudo systemctl enable clamav-freshclam.service
sudo systemctl start clamav-daemon.service
sudo systemctl enable clamav-daemon.service

O comando a seguir foi projetado para verificar apenas os arquivos novos ou modificados nas últimas 25 horas. Você pode instalá-lo em seu sudo crontab. Além disso, você tem a opção de configurar seu e-mail no início para receber notificações após cada verificação.

MAILTO="al****@*****le.com"
0 2 * * * * find /var/www -type f -mmin -1500 -print0 | xargs -0 clamdscan --fdpass --multiscan --infected