ClamAV e rkhunter na VPS Linux: como procurar malware e rootkits

Comente! ,

Tempo de leitura: 3 minutos

Servidor exposto à internet é testado o tempo todo. Mesmo com firewall e senhas fortes, um plugin vulnerável ou um upload malicioso pode deixar um arquivo infectado no disco. Dois programas gratuitos ajudam a procurar: o ClamAV e rkhunter se complementam, um olhando arquivos em busca de vírus e o outro verificando sinais de rootkit no sistema.

Segurança funciona em camadas, e a primeira é um servidor bem configurado desde o início. Se você ainda não tem onde rodar isso, a Cloud VPS Brasil já entrega o servidor pronto.

O que cada um faz

  • ClamAV: antivírus de código aberto. Escaneia pastas (como a dos seus sites) comparando os arquivos com uma base de assinaturas de malware.
  • rkhunter: procura rootkits, backdoors e alterações suspeitas em arquivos do sistema e configurações.

Nenhum dos dois substitui boas práticas, como atualizar tudo e usar firewall. Eles ajudam a descobrir o que passou.

Instalando o ClamAV

sudo apt update
sudo apt install clamav clamav-daemon -y

Atualize a base de assinaturas. Se o serviço automático estiver rodando, pare antes:

sudo systemctl stop clamav-freshclam
sudo freshclam
sudo systemctl start clamav-freshclam

Escaneando uma pasta

Para escanear os sites e mostrar só os arquivos infectados:

sudo clamscan -r -i /var/www

Os parâmetros: -r varre as subpastas e -i mostra apenas os infectados. Para mover os suspeitos para uma pasta de quarentena:

sudo mkdir -p /root/quarentena
sudo clamscan -r -i --move=/root/quarentena /var/www

Cuidado: mover arquivos pode quebrar um site se o detectado for legítimo (falso positivo). Prefira primeiro só listar e conferir.

Um aviso sobre memória

O ClamAV carrega a base de assinaturas na RAM, e isso pode consumir bem mais de 1 GB. Em VPS pequena, rode o escaneamento de madrugada e não deixe o clamav-daemon ligado o tempo todo se você não precisa dele.

Instalando o rkhunter

sudo apt install rkhunter -y
sudo rkhunter --update
sudo rkhunter --propupd

O --propupd grava a “foto” atual dos arquivos do sistema como referência. Faça isso num servidor que você sabe que está limpo, de preferência logo depois de instalar e configurar.

Rodando a verificação

sudo rkhunter --check --sk

O --sk pula as pausas entre os testes. Ao final, o resumo mostra os avisos. O relatório detalhado fica em /var/log/rkhunter.log.

Como interpretar os avisos

Muitos avisos do rkhunter são falsos positivos: por exemplo, depois de uma atualização de pacotes, arquivos mudam e ele reclama. Antes de se preocupar:

  1. Leia a linha no log e veja qual arquivo ou teste gerou o aviso.
  2. Se foi depois de atualizar o sistema, rode sudo rkhunter --propupd de novo.
  3. Se o aviso persistir em algo que você não reconhece, investigue com calma e, se for preciso, restaure o servidor de um backup limpo.

Agendando a verificação

Use o Crontab para rodar o escaneamento toda semana, de madrugada, e enviar o resultado por e-mail ou guardar num arquivo:

0 3 * * 0 clamscan -r -i /var/www >> /var/log/clamscan-semanal.log 2>&1

E se encontrar malware?

Não adianta só apagar o arquivo: é preciso achar como entrou. No caso de WordPress, veja o guia WordPress hackeado. Troque todas as senhas, atualize os plugins e confira o Fail2ban e o firewall.

Prevenção começa na escolha do servidor

Escaneamento ajuda, mas prevenção e backup protegem de verdade. Na Cloud VPS Brasil você conta com Intel Xeon Gold, SSD NVMe, baixa latência, tráfego ilimitado, preço fixo em reais e suporte humano via WhatsApp e ticket. Fale com a equipe pelo WhatsApp e escolha o plano ideal para o seu projeto.

Artigos relacionados