Re: Clamav

[Gerhard Gaußling <ggrubbish@web.de>]

Am Donnerstag 01 Dezember 2005 17:45 schrieb Markus Braun:
> >Nur so eine Idee: kann es sein, dass alles schon funktioniert, bis
> > auf der Tatsache, dass keine Archive wie z.B. *.zip gescannt
> > werden? (Die müssen ja vorher entpackt werden, damit die bytefolge
> > des eicar testfiles erkannt wird.
>
> Laut Eicar müsste er dies auch erkennen.
>
> Kannst ja mal selber ausprobieren.
http://listi.jpberlin.de/pipermail/postfixbuch-users/2005-January/013594.html
[...]
  ich nutze suse-linux 9.1 mit amavis antivir clam und spamassasin.
  über testvirus.de kann man sich einen testvirus mailen lassen,
  dieser wird gefunden, da es sich um eine gesperrte .exe endung
  handelt. wenn ich mir nun selbst einen eicar.zip sende, dann wird
  dieser ausgeliefert ohne das ein virus gemeldet wird. die mail
  selbst geht aber durch den scanner:
[...]
  hier meine amavis.conf:
[...]
http://listi.jpberlin.de/pipermail/postfixbuch-users/2005-January/013594.html
$path = '/usr/local/sbin:/usr/local/bin:/usr/sbin:/sbin:/usr/bin:/bin';
$gzip   = 'gzip';
$bzip2  = 'bzip2';
$lzop   = 'lzop';
$uncompress = ['uncompress', 'gzip -d', 'zcat'];
$unfreeze   = ['unfreeze', 'freeze -d', 'melt', 'fcat'];
$arc        = ['nomarch', 'arc'];
$zoo    = 'zoo';
$lha    = 'lha';
$sa_tag2_level_deflt = 5.0;
@av_scanners = (
['Clam Antivirus-clamd',
   \&ask_daemon, ["CONTSCAN {}\n", "/var/run/clamav/clamd"],
   qr/\bOK$/, qr/\bFOUND$/,
   qr/^.*?: (?!Infected Archive)(.*) FOUND$/ ],

  ['KasperskyLab AVP - aveclient',
[...]
da fehlt z.B. $zip = 'unzip';

http://listi.jpberlin.de/pipermail/postfixbuch-users/2005-January/013766.html

ok, das ist amavisd-new, aber ich denke, dass das eventuell trotzdem von 
Bedeutung sein kann.
 $ man clamscan |grep zip
Formatiere clamscan(1) neu, bitte warten...
       --unzip[=FULLPATH]
              unzip  program  will  be  searched  in $PATH. If unzip 
cannot be
              clamscan uses unzip for .jar files, so optionally 
eventually you
              will need to pass a full path to unzip.

Da ist es mir ziemlich egal was auf testvirus.de über eicar steht...

ciao

Gerhard