Véritable virus ou clam qui déraille ? [RESOLU]

[cilor]

Bonjour à tous et bonne année.

Je ne sais pas ce qu'il s'est passé, mais clam a fait une analyse (comme tous les jours) et a trouvé 1439 fichiers infectés par le virus Exploit.PDF-9669 et les a déplacés sous /var/spool/clamav/quarantine. Les sauvegardes ont eu le même traitement de faveur. D'après des infos lues sur le net il semblerait que ce soit le résultat d'un excès de zèle de clam. Est-ce que quelqu'un a observé le même phénomène ?

Cordialement.

Cilor.

[HP77]

Bonsoir,

Comme je suis curieux, j'ai fait une recherche succinte et le problème évoqué semble principalement (d'après la première page de résultats du moteur de recherche utilisé) être lié à une grosse pompe à fric Sans Fond ni Remord...
(j'ai été client et mon père l'est devenu à regrêts suite aux rachats à répétitions d'autres FAI(?) ayant fait de même avec les plus petits qu'eux...)

Plus sérieusement, j'ai fait une vérification du contenu du dossier indiqué /var/spool/clamav/quarantine : "total 0".

Question :
Serait-ce possible, par curiosité, d'avoir plus d'infos sur le(s) type(s) des fichiers qui se sont vus déplacés en quarantaine (JPG, MP3, AVI, EXE, etc.) ?


Je n'ai pas fait de mises à jour en bloc depuis un mois environ donc :

- soit c'est effectivement un coup de zèle sur une dernière version ou mise à jour du moteur(*) de ClamAV (est-ce le même anti-virus que chez le soi-disant FAI s'offrant de la "publicité" ?)
- soit mon serveur n'a pas encore été victime d'une quelconque éventuelle activation à distance ou par cheval de Troie sur un PC de mon LAN, etc... (que puis-je imaginer d'autre à part une énième"rustine pour fenêtres" qui manque et nécessite un redémarrage du PC ?)
- soit je ne possède pas de fichiers pouvant en faire les frais de ce coupe de zèle (voir l'ampleur de mon site perso...), d'où ma question.
- soit ??

(*)
car je soupçonne ClamAV être capable de faire des mises à jour automatiques de sa base de définitions de virus mais pas trop pour le reste.


J'ai quand même réussi à trouver des dires Linuxiens, en anglais, sur ClamAV : http://ubuntu-ky.ubuntuforums.org/showt ... ?t=1376350
On y parle aussi d'un "fix" mais, bon, ça ne résoudra peut-être rien sans devoir mettre la main à la pâte...


Salutaions,
HP

[cilor]

Bonjour,

J'ai essayé de cerner le problème en restaurant certains fichiers en quarantaine. Tous n'étaient pas indispensables car mon serveur n'héberge un tout petit site en construction et plutôt confidentiel. En fait, je n'aurai le résultat de cette expérience que demain car l'analyse de clamAV se fait la nuit.

Par contre j'ai fait une analyse d'une partie du serveur (/Primary) à partir de mon PC qui tourne sous Ubuntu. Les fichiers que j'avais restaurés à partir de /var/spool/clam/quarantine n'ont cette fois-ci pas été détectés comme infectés.

Mais je peux quand même répondre à la question concernant le type de fichier impacté. D'après le log, ce sont surtout les HTML, PHP, JS et INC qui sont touchés, plus les archives TAR qui contiennent eux-même ces fichiers.

Il y a aussi certains messages qui ont été déplacés. Curieusement, il y en avait aussi dans les boîtes mail de comptes bidons qui n'ont jamais servi. Mais je ne les ai pas restaurés.

Pour une analyse plus fine, je peux transmettre mon fichier log par mail.


Cordialement.

Cilor

[HP77]

Bonsoir,

Désolé de répondre si tardivement mais j'ai eu plusieurs fois à faire ailleurs que sur le PC...

je n'aurai le résultat de cette expérience que demain car l'analyse de clamAV se fait la nuit.

Par contre j'ai fait une analyse d'une partie du serveur (/Primary) à partir de mon PC qui tourne sous Ubuntu. Les fichiers que j'avais restaurés à partir de /var/spool/clam/quarantine n'ont cette fois-ci pas été détectés comme infectés.

Qu'en est-il de cette analyse ?

As-tu procédé à une quelconque mise à jour ClamAV depuis l'apparotion du problème ?

Mais je peux quand même répondre à la question concernant le type de fichier impacté. D'après le log, ce sont surtout les HTML, PHP, JS et INC qui sont touchés, plus les archives TAR qui contiennent eux-même ces fichiers.

Il y a aussi certains messages qui ont été déplacés. Curieusement, il y en avait aussi dans les boîtes mail de comptes bidons qui n'ont jamais servi. Mais je ne les ai pas restaurés.

Je te remercie pour ton retour sur les types de fichiers.

Pour une analyse plus fine, je peux transmettre mon fichier log par mail.

Là, je doute d'être à la hauteur...


Merci pour ce retour d'infos.

Salutations,
HP