ClamAV 在 Ubuntu 实例上检测到 Kaiji 恶意软件

Question 1

我向 ClamAV 提交了误报报告，网址为https://www.clamav.net/reports/fp

这是我提交的描述：

The attached "helper" file was retrieved by running:
docker cp "$(docker container create gcr.io/paketo-buildpacks/ca-certificates:3.6.2@sha256:87b389fa631c6d6bbdaef30b5b963b300a4cba87c0ab8e9d00e3e5c2496117d3 -d)":/cnb/buildpacks/paketo-buildpacks_ca-certificates/3.6.2/bin/helper .

clamscan run on that file outputs:
helper: Unix.Malware.Kaiji-10003916-0 FOUND

That docker image is from https://github.com/paketo-buildpacks/ca-certificates/releases/tag/v3.6.2

Unix.Malware.Kaiji-10003916-0 is being detected in many files - this is just one sample. This false positive, new today, was also raised on stackoverflow at https://serverfault.com/questions/1132808/clamav-detected-kaiji-malware-on-ubuntu-instance

我还helper通过virustotal运行了该文件：https://www.virustotal.com/gui/file-analysis/NmUzNWM2MGVhZWVmNmU5ODAxYTExOWVhMTNkNGM1MGM6MTY4NjE0NzAzNg==

除了 clamav 之外，没有任何扫描仪能够检测到此文件中的病毒。

每日签名数据库的带外更新刚刚发布，删除了以下签名：https://lists.clamav.net/pipermail/clamav-virusdb/2023-June/008315.html

这样，这个误报问题就解决了。

ClamAV 项目还将审查其流程，以防止将来再次发生此类误报。

我也向 ClamAV 报告了这个问题他们的不和。

Answer

我向 ClamAV 提交了误报报告，网址为https://www.clamav.net/reports/fp

这是我提交的描述：

The attached "helper" file was retrieved by running:
docker cp "$(docker container create gcr.io/paketo-buildpacks/ca-certificates:3.6.2@sha256:87b389fa631c6d6bbdaef30b5b963b300a4cba87c0ab8e9d00e3e5c2496117d3 -d)":/cnb/buildpacks/paketo-buildpacks_ca-certificates/3.6.2/bin/helper .

clamscan run on that file outputs:
helper: Unix.Malware.Kaiji-10003916-0 FOUND

That docker image is from https://github.com/paketo-buildpacks/ca-certificates/releases/tag/v3.6.2

Unix.Malware.Kaiji-10003916-0 is being detected in many files - this is just one sample. This false positive, new today, was also raised on stackoverflow at https://serverfault.com/questions/1132808/clamav-detected-kaiji-malware-on-ubuntu-instance

我还helper通过virustotal运行了该文件：https://www.virustotal.com/gui/file-analysis/NmUzNWM2MGVhZWVmNmU5ODAxYTExOWVhMTNkNGM1MGM6MTY4NjE0NzAzNg==

除了 clamav 之外，没有任何扫描仪能够检测到此文件中的病毒。

每日签名数据库的带外更新刚刚发布，删除了以下签名：https://lists.clamav.net/pipermail/clamav-virusdb/2023-June/008315.html

这样，这个误报问题就解决了。

ClamAV 项目还将审查其流程，以防止将来再次发生此类误报。

我也向 ClamAV 报告了这个问题他们的不和。

Question 2

今天早上（2023 年 6 月 7 日），ClamAV 报告称在 Amazon Linux 上的各种 cloudwatch-agent、ssm-agent、gitlab 和 docker 文件中发现了 Unix.Malware.Kaiji-10003916。误报或我有很多清理工作要做！

Answer

今天早上（2023 年 6 月 7 日），ClamAV 报告称在 Amazon Linux 上的各种 cloudwatch-agent、ssm-agent、gitlab 和 docker 文件中发现了 Unix.Malware.Kaiji-10003916。误报或我有很多清理工作要做！

Question 3

所有“我也是”的帖子都表明这是一个误报，但是仍然值得验证您的校验和。

dpkg 在 /var/lib/dpkg/info/.md5sums 中保存了所有已安装文件的 md5 哈希值记录

要查找拥有某个文件的包，请使用 dpkg -S 或在上方搜索其校验和。

RPM 还维护文件哈希列表（参见验证选项）。

Answer