Clamav 检测木马

Question

我刚刚扫描了我的系统并clamav检测到一些可疑文件：

File: .cahe/mozilla/firefox/jqxk4r44.default/cache2/entries/750B6E2F1286....
Status: PUA.Win.Exploit.CVE_2012_1461-1

File: .cahe/mozilla/firefox/jqxk4r44.default/cache2/entries/F099C33HJ45J....
Status: PUA.Win.Exploit.CVE_2012_1461-1

File: .config/libreoffice/4/user/basic/Standard/Module1.xba
Status: PUA.Doc.Tool.LibreOfficeMacro-2

File: Downloads/nodejs/node-v8.9.4-linux-x64/lib/node_modules/imurmurhash/imurmurhash.min.js
Status: PUA.Win.Trojan.Xored-1

这些文件是真正的威胁/木马的可能性有多大？

Answer 1

PUA.Win.Exploit.CVE_2012_1461-1

• PUA 的意思是“潜在的不需要的应用程序”。PUA 不是病毒，这是 clamav 声称存在他们认为“不需要”的应用程序，因为该文件或扩展名已被证明在 Windows 中被滥用
• Win 作为第二部分意味着它是一个与 Windows 相关的通知。
• clamav 可以选择不扫描 PUA。

我的结论是：没什么可担心的。

那留下...

PUA.Doc.Tool.LibreOfficeMacro-2

.config/libreoffice/4/user/basic/Standard/Module1.xba有一个扩展 clamav 旅行。他们认为xba，visual basic 宏被认为是“不需要的”。请参阅Clamtk 将这些 LibreOffice 文件报告为可能的威胁。他们安全吗？有关更完整的列表、答案和评论。

ClamAV 是出了名的有缺陷的软件：基于 Windows 扫描和警告，然后将它们应用到 Linux 不会也永远不会工作。

当您看到这样的通知，并且您真的相信 clamav 是要使用的工具时，下一步是检查第二个来源：例如将文件上传到诸如virustotal 之类的站点或将第二个病毒扫描软件与 clamav 一起使用（当两者都声称您调查相同的问题时，否则将它们视为误报）。

但我会完全放弃 clamav 并遵循基于 Linux 的方法：使用debsum（链接到手册页）检查包（链接到 howto）。

当你真的很偏执时（这是在看着你的熊猫）使用以上所有内容;)