Maldetect + clamAV não reconhece malwares ocultos base64

Question

Eu estou designado para fazer verificações diárias de malware em nosso site Wordpress para ter certeza de que tudo está dando certo. Por isso eu instalei o Maldetect 1.5 e o ClamAV. Como eu queria saber se tudo está funcionando como deveria, carreguei um arquivo de malware de exemplo com o código PHP escondido base64 como copiado de link .

No entanto, se eu escanear esses arquivos, a Maldetect diz "arquivos 4, malware atinge 0, limpa acessos 0".

Isso significa que não posso ter certeza de que a Maldetect está realmente detectando malware existente. Alguém aqui tem experiência com isso e quer me ajudar?

Felicidades

    

Answer 1

O hacker é que criptografa as ferramentas de hack / scripts de shell para que seja FUD (totalmente não detectado ou totalmente indetectável) . O melhor que você pode fazer é enviar esses arquivos para o ClamAV e o Maldetect para que eles possam adicioná-los ao banco de dados e detectá-los com êxito da próxima vez.

EDITAR

Em vez de você fazer essas varreduras todos os dias, recomendo que você execute o cron para o ClamAV

crontab -e #Open cron file

0 4 * * * /usr/local/cpanel/3rdparty/bin/clamscan -ri --remove /home 2>&1 | mail -s "ClamAV Scan Log" [email protected]

Isso executará uma verificação todos os dias às 4 da manhã, EXCLUIR arquivos infectados e enviar e-mails para você. Altere /home para o caminho de seus sites ou verifique tudo /
Também eu recomendo que você habilite o monitoramento para o Maldetect

    

Answer 2

Postar exemplos de "malware" pode ser problemático porque os fornecedores de A / V tendem a sinalizar seu site. Um método para contornar isso é postar o código como uma imagem, outra maneira é "quebrar" o código adicionando espaços de comprimento zero & # 8203; em locais-chave. Se você olhar o código-fonte daquela página, os exemplos serão

ev & # 8203; al (código de base & # 8203; 64_de ("ZXJyb3JfcmVwb3J0aW5nKDAp .....

Se você quisesse testar com qualquer um desses exemplos, teria que limpá-los.

Nenhuma ideia do motivo pelo qual os fornecedores de A / V sinalizam esses exemplos, pois eles não são executados em um navegador, mas isso é outra história.