ClamAV：暗号化zipファイルのウイルス誤認識(VIRUS: Encrypted.Zip)の回避手法

質問

セキュリティのカテで回答が付かなかったので、此方に再投稿します。

Linux初心者です。
CentOSにClamAV+ClamTKを導入した環境で、Full Home Scanを実施した際、暗号化zipのファイルがウィルスと誤認されました。

Internetにて情報を検索した結果、ClamAVの下記オプションが有効になっている場合、暗号化zipをウィルスと認識するとまで、分かりました。
また、このオプションは、ClamAVの設定ファイルにて定義されているとの事で、今回、このオプションを無効にしようと思っております。
(デフォルトは無効らしいが、有効に設定した記憶はありません)

対応するにあたり、オプション定義がされているclamAVの設定ファイル(clamd.conf)を検索したのですが、clamd.confファイル自体が見つけられませんでした。
(clamav.confなどは存在しました。)

該当オプション:ArchiveBlockEncrypted

このオプションの解除手法(手順)をご指導願えればと思い投稿しました。
お手数とは思いますが、宜しくお願いします。

[環境補足]
OS：CnetOS5.4
AntiVirus:ClamTK(3.09) + ClamAV(0.95.3)

回答No.2

dev_null · ベストアンサー

試しに、ArchiveBlockEncrypted yes の設定で試したところ clamd の
再起動をしなと下記のような結果になりました。

$ clamconf | grep ArchiveBlockEncrypted
ArchiveBlockEncrypted disabled

$ clamdscan A.zip
/home/xxxxx/A.zip: Encrypted.Zip FOUND

再起動を行うと下記の結果が得られることから、推測になりますが
ClamTK は clamd(デーモン)を使っているため再起動が必要なのでは？

$ clamdscan A.zip
/home/xxxxx/A.zip: OK

お礼

無事解決しました。
有難う御座いました。

回答No.1

dev_null

>セキュリティのカテで回答が付かなかったので、此方に再投稿します。

skm36522様、自身が答えを明記しているため誰にも答えようがありません。

また、rpm でインストールしたのか コンパイルインストールしたのかが
分からないと設定ファイルのありかの推測やもともとないものなのかも
判断できません。

設定ファイルがないという事なら、サンプルなどを参考に作ればいいのでは
ないでしょうか。ただし、設定ファイルをどこに置くべきかはインストール
方法が分からないとなんとも言えません。

補足

回答有難う御座います。

その後の調査で、clamd.confファイルが下記に存在する事が判明し、
設定ファイルを編集したのですが、パラメータの値を「yes」にしても「no」にしてもアラートが上がってしいます。

場所：/etc/clamd.conf
編集：
# Mark encrypted archives as viruses (Encrypted.Zip,Encrypted.RAR).
# Default: no
# パスワード付きZIPファイルをウイルスアラートとしない
ArchiveBlockEncrypted no

[インストール]
RPMのソフトインストーラにてinstallしました。

詳細は、記サイトを参考にしました。
http://yonaizumi.dip.jp/weblog/cappe/2008/09/centos52-64-3.html