trueten.de

"Wir sind es, die wir die Städte und Paläste - hier in Spanien und in Amerika und überall - gebaut haben. Wir Arbeiter können andere Städte und Paläste an ihrer Stelle aufrichten und sogar bessere. Wir haben nicht die geringste Angst vor Trümmern. Wir werden die Erben dieser Erde sein... Hier, in unserem Herzen, tragen wir eine neue Welt. Jetzt, in diesem Augenblick, wächst diese Welt." Buenaventura Durruti

Den ClamAV Virenscanner aufbohren

Auf einem Mailserver hier läuft der Open Source Virenscanner Clamav. Von Haus aus - verglichen mit kommerziellen Virenscannern - nicht mit einer besonders hohen Erkennungsrate gesegnet, lässt sich dieser jedoch mit Virenkennungen von Drittanbietern aufrüsten. Seit einigen Jahren ist für mich dabei der ClamAV Unofficial Signatures Updater von eXtremeSHOK, über den ich bei Alex gestolpert bin, eindeutiger Favorit. Auch wenn die aktuelle Version von 2017 ist, seinen Job macht es stabil und richtig: Die gewählten Virenkennungen lädt es nach wie vor bei diversen Anbietern herunter, es bleibt ClamAV überlassen, diese anzuwenden:

Bei den Kennungen für yara löst ein Eintrag jedoch Fehler aus:

LibClamAV Error: yyerror(): /var/lib/clamav/maldoc_somerules.yar line 235 undefined identifier "uint32be"
LibClamAV Warning: cliloadyara: failed to parse or load 1 yara rules from file /var/lib/clamav/maldocsomerules.yar, successfully loaded 14 rules.

Nun kann man entweder die betreffende Datei löschen und gut ist es oder einfach den fehlerhaften Eintrag bearbeiten. Ich habe bei mir letzteres getan und erhalte mir somit die Kennungen. Einfach mit einem Editor /var/lib/clamav/maldoc_somerules.yar öffnen, nach uint32be suchen und diese Zeile löschen oder einkommentieren.

Nach dem Abspeichern den Dienst zum erneuten Laden der Virenkennungtsdatenbank veranlassen:

sudo service clamav-daemon reload-database

Das editieren des Eintrags bringt nichts, die fehlerhafte Definition wird mit dem nächsten Update wieder installiert. Wie es aussieht hilft zur Zeit nur der Tipp von Vladki77:
Edit /etc/clamav-unofficial-sigs/master.conf and set:
yararulesproject_enabled="no"
enable_yararules="no"
And delete *.yar and *.yara from /var/lib/clamav/

Sehr schade, sobald sich da (hoffentlich) etwas ändert, vermerke ich das hier.

Alex hat auch zusammengefasst, wie die Erkennungsrate von Spamassassin deutlich erhöht werden kann.

Stress am Morgen wegen: "config: SpamAssassin failed to parse line"

Eine Email zu einem fehlerhaften Updatelauf der RulesDuJour kann einem schon mal den Morgenkaffee verderben:

RulesDuJour Run Summary on xxxxxxxxx:

***NOTICE***: /usr/bin/spamassassin --lint failed. This means that you have an error somwhere in your SpamAssassin configuration. To determine what the problem is, please run '/usr/bin/spamassassin --lint' from a shell and notice the error messages it prints. For more (debug) information, add the -D switch to the command. Usually the problem will be found in local.cf, user_prefs, or some custom rulelset found in /etc/mail/spamassassin. Here are the errors that '/usr/bin/spamassassin --lint' reported:

[1247] warn: config: failed to parse line, skipping, in "/etc/mail/spamassassin/RulesDuJour/99_FVGT_Tripwire.cf": <!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/1999/REC-html401-19991224/strict.dtd">
[1247] warn: config: failed to parse line, skipping, in "/etc/mail/spamassassin/RulesDuJour/99_FVGT_Tripwire.cf": <!-- <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN"
Der Inhalt von "/etc/mail/spamassassin/RulesDuJour/99_FVGT_Tripwire.cf" ist eine HTML Datei mit einem Refresh von 0.1.

Schon verdächtig. Ist Schäuble schon drin? Auch wenn man von einem Fehler ausgeht: Lieber auch mal außer der Reihe einen Sicherheitscheck des Systems starten. Natürlich von einer LiveCD aus, neben verschiedenen Virenscannern auch mit rkhunter. Das ist ein Linux-Tool, welches nach Rootkits, Hintertüren und möglichen lokalen Exploits sucht. Es vergleicht vorhandene Dateien anhand von sogenannten md5 -hashes mit kompromittierten Dateien, sucht nach von Rootkits angelegten Ordnern, falschen Dateirechten, versteckten Dateien, verdächtigen Strings in Kernelmodulen und führt eine Reihe weiterer Tests durch.

Sinnvollerweise schiebt man noch einen Check mit einem weiteren Tool, chkrootkit hinterher. Das Werkzeug ist recht einfach zu bedienen.

Bei dem betroffenen System fielen dann auch gleich mehrere veraltete und angreifbare Versionen von Programmen auf:

- OpenSSL 0.9.8e                                           [ Vulnerable ]
- Procmail MTA 3.22                                        [ Vulnerable ]
- OpenSSH 4.6p1                                            [ Vulnerable ]

Zumindest OpenSSL (0.9.8g) und OpenSSH (4.7p1) liegen ja schon seit einigen Monaten in aktuelleren Versionen vor. Och nööö... Schon ist der Nachmittag geregelt. Und das bei dem schönen Wetter:



Naja, zum Glück gibt es auch Backups, daher ist das Problem mit der fehlerhaften Datei 99_FVGT_Tripwire.cf wenigstens schnell erledigt.

SpamAssassin Rulesets mit RulesDuJour erweitern

Zwar erledigt SpamAssassin den meisten Spam, mit den RulesDuJour wird dessen Erkennungrate noch weiter verbessert. Die Installation auf beliebigen Linux Systemen ist eigentlich kein größeres Problem. Die Anleitung auf howtoforge veranschaulicht, wie man RulesDuJour installiert und aktualisiert.

Ein Hinweis noch, mit:

spamassassin --lint --debug

kann man prüfen, ob die neuen Regeln in spamassassin eingebunden wurden. So oder ähnlich sehen die eingebundenen Rules in der Ausgabe davon aus:

[12369] dbg: config: using "/etc/mail/spamassassin" for site rules dir
[12369] dbg: config: read file /etc/mail/spamassassin/70_sare_evilnum0.cf
[12369] dbg: config: read file /etc/mail/spamassassin/70_sare_random.cf
[12369] dbg: config: read file /etc/mail/spamassassin/tripwire.cf


Sollte es Probleme bei der Verwendung mit amavisd geben:

Folgende Zeile in die local.cf setzen:
include /etc/spamassassin/rulesdujuor/

Damit werden die Rules auf jeden Fall eingelesen.

Via