🛡️ ClamAV – Guida Completa

📌 Cos’è ClamAV?

ClamAV (Clam AntiVirus) è un motore antivirus open-source progettato per rilevare trojan, virus, malware, rootkit e altre minacce. È spesso utilizzato in mail gateway, server, ambienti forensi o per effettuare scan manuali o programmati.

🔧 Installazione

🔹 Debian/Ubuntu

sudo apt update
sudo apt install clamav clamav-daemon -y

🔹 RHEL/CentOS

sudo yum install epel-release -y
sudo yum install clamav clamav-update -y

🔹 Arch Linux

sudo pacman -S clamav

🔄 Aggiornamento delle definizioni

ClamAV utilizza il tool freshclam per aggiornare il database delle firme antivirus.

Esecuzione manuale:

sudo freshclam

Verifica dello stato:

sudo cat /var/log/clamav/freshclam.log

📌 NB: assicurati che la directory /var/lib/clamav sia scrivibile da clamav e che freshclam non sia in esecuzione in background se lanciato manualmente.

⚙️ Scansione con clamscan (versione CLI)

📍 Scansione di una directory:

clamscan -r /percorso/da/scansionare

📍 Esempi di opzioni utili:

Esempio completo:

clamscan -r -i --move=/tmp/quarantena --log=scan_report.txt /home/user

🧠 Utilizzo di clamd (demone)

clamd è il demone di ClamAV, utile per:

• integrazione con altri software (es. mail server, SIEM, cron job)

• migliore performance rispetto a clamscan (carica una sola volta il DB)

Avvio e gestione:

sudo systemctl start clamav-daemon
sudo systemctl enable clamav-daemon

Scansione con clamdscan:

clamdscan /var/www/html

Stesse opzioni di clamscan, ma molto più veloce.

🔄 Integrazione con Cron

Per eseguire una scansione giornaliera automatica:

sudo crontab -e

E inserisci:

0 3   * clamscan -r -i /home | mail -s "ClamAV Scan Report" you@example.com

📊 Report e Analisi

Puoi leggere i file log di ClamAV:

• /var/log/clamav/clamav.log (scansioni)

• /var/log/clamav/freshclam.log (aggiornamenti DB)

Oppure creare report personalizzati con grep e awk:

grep FOUND scan_report.txt | awk -F: '{ print $1 }'

📁 Quarantena

Puoi configurare ClamAV per spostare i file infetti in una directory di quarantena piuttosto che cancellarli:

clamscan -r --move=/var/quarantena /opt

Assicurati che la directory esista e che clamav abbia i permessi corretti:

sudo mkdir -p /var/quarantena sudo chown clamav:clamav /var/quarantena

📌 Best Practice

✅ Pianifica aggiornamenti DB frequenti con freshclam

✅ Automatizza scansioni periodiche via cron

✅ Usa clamd in ambienti di produzione per performance migliori

✅ Integra con fail2ban, mail server, SIEM, etc.

✅ Escludi directory di sistema critiche durante scansioni programmate (es. /proc, /sys, /dev)

🛑 Limitazioni

• ClamAV non offre protezione real-time come un antivirus commerciale

• Alcune firme potrebbero non rilevare minacce polimorfiche o avanzate

• Nessun sistema di machine learning o sandboxing integrato

🧠 Tip da pentester/analista forense

🔍 Se comprometti un host e vuoi fare un’analisi rapida di eseguibili sospetti:

clamscan /tmp/eseguibile

📦 Scarica file da un host compromesso, analizzali in sandbox con ClamAV prima di trasferirli nel tuo host locale.

📤 Puoi combinare ClamAV con strumenti come VirusTotal API, YARA, o Cuckoo Sandbox per massimizzare la detection.

✅ Conclusione

ClamAV è un tool open-source potente, affidabile e versatile per la protezione e l’analisi malware su ambienti Linux. Nonostante i limiti, resta uno standard de facto per l’antivirus open-source, utile in:

• 🧪 Post-Compromissione

• 🔍 Analisi Forense

• 🔐 Sistemi Mail/FTP

• 📁 Protezione di ambienti condivisi