ClamAV で偽陽性ファイルをホワイトリストに追加する方法

ClamAV で、サーバ上の swf ファイルが Swf.Exploit.CVE_2014_0564-2 として検出されるようになってしまいました。

# clamdscan example.swf
example.swf: Swf.Exploit.CVE_2014_0564-2 FOUND

1 2	# clamdscan example.swf example.swf: Swf.Exploit.CVE_2014_0564-2 FOUND

このファイルはかなり以前から利用してるものなので、誤判定 (False Positive) だと思われます。ClamAV の Report False Positive フォームから申請してみたものの、対応される気配がありません。

そこで、ClamAV のホワイトリスト機能を使って回避することにします。ホワイトリストは ClamAV のウィルス定義ファイルがあるディレクトリに、拡張子 .fp で作成します。

# sigtool --sha1 example.swf > /var/lib/clamav/whitelist.fp
# service clamd reload

1 2	# sigtool --sha1 example.swf > /var/lib/clamav/whitelist.fp # service clamd reload

これで、検知されなくなるはずです。

# clamdscan example.swf
example.swf: OK

1 2	# clamdscan example.swf example.swf: OK

どうしても誤検知と思われるファイルで困っているときはお試しあれ。