¿Qué es ClamAV?
Software antivirus de código abierto ampliamente utilizado para detectar troyanos, virus, malware y otras amenazas en sistemas Unix-like — Linux, BSD y macOS. Incluido por defecto en Kali Linux Purple.
ClamAV destaca frente a soluciones comerciales por su naturaleza open-source, su alta velocidad de escaneo y su facilidad de integración con otros sistemas. Es la herramienta antivirus de referencia en entornos de análisis forense y Blue Team por su modularidad y soporte de scripting.
Open Source
Código fuente accesible. Cualquiera puede auditar, personalizar e integrar en sus sistemas sin coste.
Alta velocidad
Eficiente para escanear grandes volúmenes de datos. Ideal para servidores de correo y proxies.
Modular
Configurable para distintos entornos. Integración con sistemas de análisis forense y flujos automatizados.
Cómo Funciona un Antivirus
ClamAV (como la mayoría de antivirus modernos) opera mediante tres mecanismos principales combinados para maximizar la detección.
PASO 1
Definición de Firmas
Base de datos de patrones únicos asociados a cada tipo de malware. Se actualiza constantemente con nuevas amenazas.
freshclam
PASO 2
Análisis de Archivos
Compara el contenido de cada archivo con las firmas conocidas. Si hay coincidencia → archivo infectado.
clamscan -i -r
PASO 3
Heurística
Analiza el comportamiento de los archivos para detectar malware desconocido con patrones sospechosos sin firma registrada.
Análisis conductual
PASO 4
Reporte
Genera informe con archivos limpios, infectados, tipo de malware detectado y hash para correlación en bases de datos externas.
Salida + logs
Actualizar las Firmas de Virus
Antes de escanear, actualiza siempre la base de datos de firmas. ClamAV usa freshclam para descargar las últimas definiciones de malware.
bash
# Actualizar base de datos de firmas (ejecutar como root o con sudo)
sudo freshclam
# Verificar la versión de ClamAV y firmas actuales
clamscan --version💡 Buena práctica: Ejecuta
freshclam antes de cada sesión de análisis forense o pentesting. La efectividad de ClamAV depende directamente de tener las firmas actualizadas.Escanear Archivos con clamscan
El comando principal para analizar archivos — con flags para escaneo recursivo, tamaño máximo y mostrar solo infectados.
bash — Escaneo de archivo individual
# Escanear un archivo específico
# -i → mostrar solo archivos infectados
# -r → recursivo (directorios)
# --max-scansize → tamaño máximo de escaneo por archivo comprimido
# --max-filesize → tamaño máximo del archivo a analizar
clamscan -i -r --max-scansize=4000M --max-filesize=4000M /home/kali/archivo1bash — Escaneo del segundo archivo
clamscan -i -r --max-scansize=4000M --max-filesize=4000M /home/kali/archivo2bash — Escaneo de directorio completo
# Escaneo recursivo de un directorio completo
clamscan -i -r --max-scansize=4000M --max-filesize=4000M /home/kali/
# Con log de resultados para análisis posterior
clamscan -i -r --log=/var/log/clamscan.log /ruta/a/escanear
# Mover archivos infectados a cuarentena
clamscan -i -r --move=/tmp/cuarentena /ruta/a/escanearResultados del Análisis
En el laboratorio se analizaron dos archivos: un ejecutable Windows descargado de una web y otro extraído de GitHub. Los resultados ilustran bien la diferencia entre un archivo limpio y uno infectado.
archivo1
LIMPIO
OrigenEjecutable Windows — descargado de web
ResultadoNo detectado como amenaza
RecomendaciónPasar una segunda vez o probar otro antivirus para evitar falsos negativos
Siguiente pasoConsultar hash en VirusTotal contra múltiples bases de datos
archivo2
INFECTADO
OrigenRepositorio de GitHub
ResultadoMalware detectado: Coinminer
TipoCoinminer — malware que usa recursos del sistema para minar criptomonedas sin consentimiento
AcciónCuarentena inmediata — no ejecutar bajo ninguna circunstancia
⚠️ Coinminers: Son un tipo de malware que secuestra la CPU/GPU del sistema para minar criptomonedas en beneficio del atacante. Aunque no destructivo, causa degradación severa del rendimiento y puede indicar una brecha más amplia.
Falsos Negativos y Validación Cruzada
Ningún antivirus detecta el 100% de las amenazas. La estrategia correcta es combinar múltiples fuentes de verificación.
Lo recomendable es siempre consultar en las máximas bases de datos posibles por si la firma o hash ya está registrada. Si ClamAV no detecta nada, no significa que el archivo sea necesariamente seguro.
Segunda pasada
Ejecutar clamscan una segunda vez o con la base de datos actualizada. Especialmente útil tras un
freshclam reciente.VirusTotal
Consulta el hash o el archivo contra +70 motores antivirus simultáneamente. La referencia estándar para validación cruzada.
Sandbox
Analizar el comportamiento dinámico en ANY.RUN o Hybrid Analysis para detectar amenazas zero-day que no tienen firma registrada.
💡 Heurística: Además de firmas, ClamAV usa técnicas heurísticas que analizan el comportamiento de los archivos para identificar patrones sospechosos no registrados en ninguna firma. Esto permite detectar variantes nuevas de malware conocido.
Referencia de Comandos
Los comandos y flags más usados de ClamAV para uso cotidiano y análisis forense.
| Comando / Flag | Descripción | Ejemplo |
|---|---|---|
| freshclam | Actualizar base de datos de firmas de virus | sudo freshclam |
| clamscan | Comando principal de escaneo de archivos/directorios | clamscan /ruta |
| -i | Mostrar solo archivos infectados en la salida (infected-only) | clamscan -i /ruta |
| -r | Escaneo recursivo de subdirectorios | clamscan -r /home/ |
| --max-scansize | Tamaño máximo de escaneo dentro de archivos comprimidos | --max-scansize=4000M |
| --max-filesize | Tamaño máximo del archivo a analizar | --max-filesize=4000M |
| --log | Guardar resultados en un archivo de log | --log=/var/log/clam.log |
| --move | Mover archivos infectados a directorio de cuarentena | --move=/tmp/cuarentena |
| --remove | Eliminar archivos infectados automáticamente ⚠️ | --remove |
| --version | Mostrar versión de ClamAV y fecha de firmas | clamscan --version |
bash — Comando completo de análisis forense
# Escaneo forense completo con log detallado
clamscan -i -r --max-scansize=4000M --max-filesize=4000M --log=/var/log/clamscan_forense.log --move=/tmp/cuarentena /directorio/a/analizarVentajas de ClamAV
Por qué ClamAV es una herramienta imprescindible en el arsenal de cualquier profesional de ciberseguridad.
Detección Temprana
Identifica infecciones en sistemas comprometidos — fundamental para contener una amenaza y evitar propagación.
Análisis de Malware
Proporciona información sobre tipo, función y origen del malware para enriquecer la investigación forense.
Verificación de Integridad
Verifica que archivos y sistemas no hayan sido modificados por malware — clave en preservación de evidencias digitales.
Integración Total
Se integra fácilmente con servidores de correo (Postfix, Sendmail), proxies, sistemas SIEM y flujos automatizados.
Gratuito y Open Source
Sin costes de licencia. Código fuente auditable y personalizable para cualquier necesidad específica.
Modularidad
Configurable para distintos entornos — desde un servidor de correo hasta un sistema de análisis forense automatizado.
ClamAV en el Análisis Forense Digital
ClamAV es una herramienta invaluable en investigaciones forenses. Sus capacidades van mucho más allá de un antivirus convencional.
Investigación de Incidentes
Identificar malware en sistemas comprometidos y determinar el alcance de una infección. Primer paso en cualquier respuesta a incidentes (IR).
Análisis de Muestras de Malware
Desensamblar y analizar muestras para comprender su funcionamiento — familias de malware, vectores de ataque, C2 infrastructure.
Verificación de Integridad de Evidencias
Asegurar que las evidencias digitales no hayan sido alteradas — requisito fundamental para que sean admisibles en un proceso legal.
Entornos de Análisis Seguros
Escanear imágenes de disco y memorias USB antes de analizarlas en entorno aislado — evita contaminación del entorno forense.
🔗 VirusTotal + ClamAV: La combinación óptima en análisis forense es usar ClamAV localmente para un primer análisis rápido y luego consultar el hash en VirusTotal para contrastar con +70 motores. Si la firma ya está registrada en las bases de datos, tendrás información contextual adicional sobre el malware.