O ClamAV é projetado para ser um mecanismo de varredura por solicitação, e só será executado quando você invocá-lo para ser executado (o que significa que você provavelmente não verá nenhum de seus processos se não o invocou manualmente). Além disso, quando você instalou o pacote clamav, instalou apenas o scanner de linha de comando e o mecanismo de verificação.
clamav-daemon - permite que o ClamAV seja um mecanismo de varredura ao acessar, o que significa que ele é executado automaticamente sem sua intervenção
Você pode ver a resposta completa aqui