A Cisco apresentou um novo lançamento significativo do pacote antivírus gratuito ClamAV 0.104.0. Lembramos que o projeto foi adquirido pela Cisco em 2013 após a compra da Sourcefire, que desenvolvia o ClamAV e o Snort. O código do projeto é distribuído sob a licença GPLv2.
Ao mesmo tempo, a Cisco anunciou o início da formação de ramificações do ClamAV com suporte de longo prazo (LTS), cuja manutenção será garantida por três anos a partir da publicação do primeiro lançamento na ramificação. A primeira ramificação LTS será o ClamAV 0.103, com atualizações para correção de vulnerabilidades e problemas críticos sendo lançadas até 2023.
Atualizações para ramificações normais, não classificadas como LTS, serão publicadas por pelo menos mais 4 meses após o lançamento do primeiro release da próxima ramificação (por exemplo, as atualizações para a ramificação ClamAV 0.104.x serão publicadas por mais 4 meses após o lançamento do ClamAV 0.105.0). A possibilidade de download da base de assinaturas para ramificações não-LTS também será garantida por pelo menos mais 4 meses após o lançamento da próxima ramificação.
Outra mudança marcante foi a formação de pacotes de instalação oficiais, que permitem a atualização sem a necessidade de recompilação a partir do código-fonte e sem aguardar a disponibilidade de pacotes em distribuições. Os pacotes foram preparados para Linux (nos formatos RPM e DEB nas versões para as arquiteturas x86_64 e i686), macOS (para x86_64 e ARM64, incluindo suporte para o chip Apple M1) e Windows (x64 e win32). Além disso, começaram a ser publicados imagens oficiais de containers no Docker Hub (fornecendo imagens com e sem a base de assinaturas integrada). No futuro, está prevista a publicação de pacotes RPM e DEB para a arquitetura ARM64 e o lançamento de compilações para FreeBSD (x86_64).
Principais melhorias no ClamAV 0.104:
- Mudança para o uso do sistema de compilação CMake, que agora é obrigatório para compilar o ClamAV. O suporte aos sistemas de compilação Autotools e Visual Studio foi encerrado.
- Componentes LLVM embutidos na entrega foram removidos em favor da utilização de bibliotecas externas já existentes do LLVM. No runtime, para o tratamento de assinaturas com bytecode embutido, o interpretador de bytecode, que não possui suporte a JIT, é utilizado por padrão. Para usar o LLVM em vez do interpretador de bytecode durante a compilação, é necessário especificar explicitamente os caminhos para as bibliotecas do LLVM 3.6.2 (o suporte a versões mais novas está previsto para ser adicionado posteriormente).
- Os processos clamd e freshclam agora estão disponíveis como serviços do Windows. Para instalar esses serviços, há a opção "—install-service", e para iniciar, pode-se usar o comando padrão "net start [name]".
- Adicionada uma nova opção de escaneamento que alerta sobre a transmissão de arquivos gráficos corrompidos, por meio dos quais potenciais vulnerabilidades em bibliotecas gráficas podem ser exploradas. A verificação de formato está implementada para arquivos JPEG, TIFF, PNG e GIF, e é ativada pela configuração AlertBrokenMedia no clamd.conf ou pela opção de linha de comando "—alert-broken-media" no clamscan.
- Novos tipos CL_TYPE_TIFF e CL_TYPE_JPEG foram adicionados para uniformidade com a definição de arquivos nos formatos GIF e PNG. Os tipos BMP e JPEG 2000 continuam a ser definidos como CL_TYPE_GRAPHICS, pois não suportam análise de formato.
- O ClamScan agora inclui um indicador visual de progresso para o carregamento de assinaturas e compilação do motor, realizados antes do início da varredura. O indicador não é exibido quando não iniciado a partir do terminal ou ao especificar alguma das opções "—debug", "—quiet", "—infected", "—no-summary".
- Na libclamav, foram adicionados os callbacks cl_engine_set_clcb_sigload_progress(), cl_engine_set_clcb_engine_compile_progress() e engine free: cl_engine_set_clcb_engine_free_progress() para exibir o progresso, permitindo que aplicativos monitorem e avaliem o tempo de execução das fases preliminares de carregamento e compilação de assinaturas.
- Na opção VirusEvent, foi adicionada a suporte para a máscara de formatação de string "%f" para substituir o caminho do arquivo onde o vírus foi encontrado (semelhante à máscara "%v" com o nome do vírus detectado). No VirusEvent, uma funcionalidade similar também está disponível através das variáveis de ambiente $CLAM_VIRUSEVENT_FILENAME e $CLAM_VIRUSEVENT_VIRUSNAME.
- A operação do módulo de descompactação de scripts AutoIt foi melhorada.
- Adicionada suporte para extração de imagens de arquivos *.xls (Excel OLE2).
- Possibilitada a upload de hashes Authenticode com base no algoritmo SHA256 na forma de arquivos *.cat (utilizados para verificar executáveis do Windows com assinatura digital).
Fonte: opennet.ru
