Abort, anti virus scanner failed [GELÖST]

[BuCo]

Hallo zusammen,

würde mich freuen, wenn mir jemand bei folgendem Problem helfen könnte:

Seit ein paar Tagen schlägt der geplante nächtliche Virenscan fehl.

Fehlermeldung:

Code: Select all

Ein Antiviren-Scan auf dem Server <unser Server> wurde mit dem folgenden Status beendet: Ein Fehler ist aufgetreten.


Abort, anti virus scanner failed.

------------- AV SCAN --------------
Start: 2025-08-11 01:00:01

------ UPDATE VIRUS DATABASE -------
Start: 2025-08-11 01:00:01
End: 2025-08-11 01:00:44
Status: Success

--------------- END ----------------
End: 2025-08-11 04:17:54
Status: Abort, anti virus scanner failed.

Die clamav.log gibt leider keinen Aufschluss

Code: Select all

Mon Aug 11 01:00:44 2025 -> Reading databases from /var/lib/clamav
Mon Aug 11 01:00:57 2025 -> Database correctly reloaded (8844959 signatures)
Mon Aug 11 01:00:57 2025 -> Activating the newly loaded database...

und die freshclam.log leider auch nicht

Code: Select all

Mon Aug 11 01:00:01 2025 -> --------------------------------------
Mon Aug 11 01:00:01 2025 -> ClamAV update process started at Mon Aug 11 01:00:01 2025
Mon Aug 11 01:00:01 2025 -> WARNING: Your ClamAV installation is OUTDATED!
Mon Aug 11 01:00:01 2025 -> WARNING: Local version: 1.0.7 Recommended version: 1.0.9
Mon Aug 11 01:00:01 2025 -> DON'T PANIC! Read https://docs.clamav.net/manual/Installing.html
Mon Aug 11 01:00:01 2025 -> daily database available for update (local version: 27727, remote version: 27728)
Mon Aug 11 01:00:02 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-de309b7a6020921d29ffa894b3b5ce2e.tmp-daily.cld' ...
Mon Aug 11 01:00:06 2025 -> Database test passed.
Mon Aug 11 01:00:07 2025 -> daily.cld updated (version: 27728, sigs: 2076423, f-level: 90, builder: raynman)
Mon Aug 11 01:00:07 2025 -> main.cvd database is up-to-date (version: 62, sigs: 6647427, f-level: 90, builder: sigmgr)
Mon Aug 11 01:00:07 2025 -> bytecode.cvd database is up-to-date (version: 336, sigs: 83, f-level: 90, builder: nrandolp)
Mon Aug 11 01:00:09 2025 -> junk.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:13 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-f78a64334a192c103325e829bd7a490b.tmp-jurlbl.ndb' ...
Mon Aug 11 01:00:13 2025 -> Database test passed.
Mon Aug 11 01:00:13 2025 -> jurlbl.ndb updated (version: custom database, sigs: 12708)
Mon Aug 11 01:00:14 2025 -> phish.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:16 2025 -> rogue.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:17 2025 -> sanesecurity.ftm is up-to-date (version: custom database)
Mon Aug 11 01:00:18 2025 -> sigwhitelist.ign2 is up-to-date (version: custom database)
Mon Aug 11 01:00:20 2025 -> scam.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:21 2025 -> spamimg.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:22 2025 -> spamattach.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:24 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-43c8fe24b1360abfebf4e09d024c467f.tmp-blurl.ndb' ...
Mon Aug 11 01:00:24 2025 -> Database test passed.
Mon Aug 11 01:00:24 2025 -> blurl.ndb updated (version: custom database, sigs: 874)
Mon Aug 11 01:00:25 2025 -> foxhole_generic.cdb is up-to-date (version: custom database)
Mon Aug 11 01:00:26 2025 -> foxhole_filename.cdb is up-to-date (version: custom database)
Mon Aug 11 01:00:28 2025 -> malwarehash.hsb is up-to-date (version: custom database)
Mon Aug 11 01:00:29 2025 -> hackingteam.hsb is up-to-date (version: custom database)
Mon Aug 11 01:00:30 2025 -> winnow_malware.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:31 2025 -> winnow_malware_links.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:32 2025 -> winnow_extended_malware.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:34 2025 -> winnow.attachments.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:35 2025 -> winnow_bad_cw.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:36 2025 -> bofhland_cracked_URL.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:37 2025 -> bofhland_malware_URL.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:38 2025 -> bofhland_phishing_URL.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:39 2025 -> bofhland_malware_attach.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:41 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-a5e92dfcac0078fc25302c0870e89f8d.tmp-porcupine.ndb' ...
Mon Aug 11 01:00:41 2025 -> Database test passed.
Mon Aug 11 01:00:41 2025 -> porcupine.ndb updated (version: custom database, sigs: 1506)
Mon Aug 11 01:00:43 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-35a30d95907f5b7b90a31a5df10e6e34.tmp-phishtank.ndb' ...
Mon Aug 11 01:00:43 2025 -> Database test passed.
Mon Aug 11 01:00:43 2025 -> phishtank.ndb updated (version: custom database, sigs: 1)
Mon Aug 11 01:00:44 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-a2180d404c9d9a06d2e67e5d45b8f632.tmp-porcupine.hsb' ...
Mon Aug 11 01:00:44 2025 -> Database test passed.
Mon Aug 11 01:00:44 2025 -> porcupine.hsb updated (version: custom database, sigs: 32)
Mon Aug 11 01:00:44 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-203fd9f7ece0e4efbfbd9f6002c6c687.tmp-urlhaus.ndb' ...
Mon Aug 11 01:00:44 2025 -> Database test passed.
Mon Aug 11 01:00:44 2025 -> urlhaus.ndb updated (version: custom database, sigs: 11964)
Mon Aug 11 01:00:44 2025 -> Clamd successfully notified about the update.

Ich denke, den Hinweis, dass es eine neue ClamAV-Version 1.0.9 gibt, kann man sicherlich vernachlässigen, oder?

Die Schritte aus dem Thema viewtopic.php?t=1650 habe ich auch durchgeführt

Code: Select all

root@mail ~ # clamscan --version
ClamAV 1.0.7/27728/Sun Aug 10 10:32:45 2025
root@mail ~ # clamscan --infected --recursive /tmp/

----------- SCAN SUMMARY -----------
Known viruses: 8844959
Engine version: 1.0.7
Scanned directories: 13
Scanned files: 403
Infected files: 0
Data scanned: 844.79 MB
Data read: 542.20 MB (ratio 1.56:1)
Time: 68.726 sec (1 m 8 s)
Start Date: 2025:08:11 08:40:33
End Date:   2025:08:11 08:41:42
root@mail ~ # echo $?
0

Dabei tritt kein Fehler auf.

Woran kann es liegen, dass der nächtliche geplante Scan jeden Tag fehlschlägt?

Vielen Dank schonmal für eure Hilfe.

VG
Norbert

[Alexander]

Vermutung: Der Virenscann wird durch den Out-Of-Memory Killer terminiert, weil kein RAM mehr auf dem Server für diese Aufgabe zur Verfügung steht.

Code: Select all

dmesg

Sollte die Antwort liefern.

[BuCo]

dmesg gibt folgenden Output

https://nc.busch.eu/index.php/s/r57racBKonNeHaM

Damit kann ich leider so gar nichts anfangen

Kannst du da raus lesen, woran es liegt?

[Florian]

Hallo,

da ist nichts zu sehen.

Schau auch ins syslog und such dort nach "oom"

[BuCo]

Ich habe mir die /var/log/syslog mal genau angeschaut und auch nach "oom" gesucht.

"oom" kommt in dieser Datei gar nicht vor und auch ansonsten finde ich nichts, was auf den beschriebenen Fehler hin deutet.

Mit welchem genauen Befehl wird denn der nächtliche geplante scan gestartet?
Gibt es eine Möglichkeit, diesen Befehl manuell nochmal mit Debug-Logs über die Konsole auszuführen?

[Alexander]

Mit welchem genauen Befehl wird denn der nächtliche geplante scan gestartet?

Sofern nichts weiter konfiguriert wurde ist das der Standard:

Code: Select all

clamscan --infected --recursive --file-list /tmp/keyhelp/anti_virus_scan_paths

Inhalt: /tmp/keyhelp/anti_virus_scan_paths

Code: Select all

/home/users
/tmp
/var/tmp

Wieviel Ram hat denn der Server?

[BuCo]

Wieviel Ram hat denn der Server?

Code: Select all

root@mail ~ # free -m
               total        used        free      shared  buff/cache   available
Mem:           64177       27500        3591         278       33085       36677
Swap:              0           0           0

Inhalt von /tmp/keyhelp/anti_virus_scan_paths:

Code: Select all

/

Lasse gerade mal

Code: Select all

clamscan --infected --recursive --verbose --debug --file-list=/tmp/keyhelp/anti_virus_scan_paths --log=/root/clamscan.log --exclude=/home/users/nextcloud/www/nc.busch.eu/data/ --exclude=/var/mail/ --exclude=/var/log/

durchlaufen.
Das dürfte unserer in der Keyhelp GUI unter Einstellungen -> Konfiguration -> Antivirus-Scanner gemachten Einstellungen entsprechen.
Mal schauen, was die log-Datei nach Abschluss dazu sagt.

[Tobi]

Gib dem Server mal 2 GB Swap.
Dann sollte es funktionieren.

[BuCo]

Lasse gerade mal

Code: Select all

clamscan --infected --recursive --verbose --debug --file-list=/tmp/keyhelp/anti_virus_scan_paths --log=/root/clamscan.log --exclude=/home/users/nextcloud/www/nc.busch.eu/data/ --exclude=/var/mail/ --exclude=/var/log/

durchlaufen.

Ist fehlerfrei durchgelaufen.

Ich bin fast davon überzeugt, dass der Fehler in meinem Fall gar kein Fehler im eigentlichen Sinn ist, sondern dass Keyhelp eine Rückmeldung des Virenscanners fälschlicherweise als Fehler interpretiert und zwar immer dann, wenn kein einziger Virus gefunden wurde.

Weil der nächtliche geplante Virenscan in meinem Fall gerne mal ein paar false positives gefunden hat (was mich gestört hat), habe ich die Datei /var/lib/clamav/sigwhitelist.ign2 mit folgendem Inhalt angelegt:

Code: Select all

MiscreantPunch.INFO.NoWordsHasMacro
MiscreantPunch.Suspicious.RemoteTempalteCall
PhishTank.Phishing.5603443
PhishTank.Phishing.6645510
PhishTank.Phishing.6698671
PhishTank.Phishing.6686540
PhishTank.Phishing.6688600
PhishTank.Phishing.6801210
Porcupine.Phishing.51532
Porcupine.Phishing.52548
Porcupine.Phishing.55265
Porcupine.Phishing.58668
Porcupine.Phishing.61190
Porcupine.Junk.55678
Porcupine.Malware.43226
Porcupine.Malware.52899
Porcupine.Malware.52901
Porcupine.Malware.54686
Porcupine.Malware.41917
Sanesecurity.Phishing.Fake.29768
Sanesecurity.Phishing.Fake.Coin.32024

Das führt dazu, dass der Virenscan keinen "Virus" mehr findet und seitdem kommt als Ergebnis "Status: Abort, anti virus scanner failed."

Um zu überprüfen, ob meine Vermutung stimmt, habe ich in der Datei /var/lib/clamav/sigwhitelist.ign2 einfach wieder ein paar Signaturen deaktiviert:

Code: Select all

MiscreantPunch.INFO.NoWordsHasMacro
MiscreantPunch.Suspicious.RemoteTempalteCall
PhishTank.Phishing.5603443
PhishTank.Phishing.6645510
PhishTank.Phishing.6698671
PhishTank.Phishing.6686540
PhishTank.Phishing.6688600
PhishTank.Phishing.6801210
#Porcupine.Phishing.51532
#Porcupine.Phishing.52548
#Porcupine.Phishing.55265
#Porcupine.Phishing.58668
#Porcupine.Phishing.61190
#Porcupine.Junk.55678
#Porcupine.Malware.43226
#Porcupine.Malware.52899
#Porcupine.Malware.52901
#Porcupine.Malware.54686
#Porcupine.Malware.41917
#Sanesecurity.Phishing.Fake.29768
#Sanesecurity.Phishing.Fake.Coin.32024

Dann habe ich den nächtlichen Scan einfach nochmal manuell über "Einstellungen -> Wartungsintervalle -> Virenprüfung durchführen" gestartet

Ergebnis:

Code: Select all

Hallo keyadmin!

Ein Antiviren-Scan auf dem Server mail.busch.eu wurde mit dem folgenden Status beendet: Es wurden Viren gefunden.


------------- AV SCAN --------------
Start: 2025-08-12 05:59:01

------ UPDATE VIRUS DATABASE -------
Start: 2025-08-12 05:59:01
End: 2025-08-12 05:59:34
Status: Success

----- INFECTIONS (UNOFFICIAL) ------
/home/keyhelp/www/keyhelp.webstats/mail-bsuch/www.busch.eu/2024-01/awstats.www.busch.eu.refererpages.html: Sanesecurity.Phishing.Fake.29768.UNOFFICIAL FOUND
/home/keyhelp/www/keyhelp.webstats/mail-bsuch/www.busch.eu/2023-10/awstats.www.busch.eu.refererpages.html: Sanesecurity.Phishing.Fake.29768.UNOFFICIAL FOUND
/usr/share/nmap/nmap-services: Sanesecurity.Phishing.Fake.Coin.32024.UNOFFICIAL FOUND
/var/lib/apt/lists/deb.debian.org_debian_dists_bookworm_main_i18n_Translation-en: Porcupine.Phishing.58668.UNOFFICIAL FOUND

---------- SCAN LOCATIONS ----------
/

----------- SCAN SUMMARY -----------
Known viruses: 8845029
Engine version: 1.0.7
Scanned directories: 229863
Scanned files: 737259
Infected files: 4
Total errors: 618
Data scanned: 43575.61 MB
Data read: 60227.77 MB (ratio 0.72:1)
Time: 11710.375 sec (195 m 10 s)
Start Date: 2025:08:12 05:59:34
End Date: 2025:08:12 09:14:45

--------------- END ----------------
End: 2025-08-12 09:14:45
Status: Success

Mit freundlichen Grüßen
Ihr Support-Team

Wie man sieht gibt es jetzt "Status: Success".

Lass ich den Scan nochmal manuell mit allen aktivierten Signaturen in der Whitelist laufen dann gibt es als Ergebnis wieder den im Betreff angegebenen Fehler.

Könnt ihr das bei euch nachvollziehen und könnt ihr das vielleicht im nächsten Update ändern?

[Alexander]

Ich bin fast davon überzeugt, dass der Fehler in meinem Fall gar kein Fehler im eigentlichen Sinn ist, sondern dass Keyhelp eine Rückmeldung des Virenscanners fälschlicherweise als Fehler interpretiert und zwar immer dann, wenn kein einziger Virus gefunden wurde.

Die Exit-Codes vom clamscan sind wie folgt:

0 - Alles okay, kein Virus
1 - Alles okay aber Virus gefunden
2 - Fehler bei der Ausführung.

Den Fehler "Abort, anti virus scanner failed." seitens KeyHelp erhälst du, sobald der Exit-Code nicht 0 oder 1 ist.

Mit dieser Datei hat KeyHelp zum Beispiel garnichts zu tun:

Code: Select all

/var/lib/clamav/sigwhitelist.ign2

Du müsstest wenn dann einmal komplett darlegen, welche Änderungen du in die Clamscan-Konfiguration eingebaut und mit welchen Parametern bei dir Clamscan läuft, damit es jemand nachstellen kann.
Bei einem regulären KeyHelp System, welches ausschließlich über die Parameter unter "Konfiguration -> Antivirus-Scanner" gesteuert wird, sind mir keine Probleme bekannt.

[tab-kh]

Ich benutze Keyhelp auf mehreren Servern. Auf einem davon sind (seit mehr als einem Jahr) einige "false positives", die ClamScan jede Woche (wieder) findet. Bei ir scannt er nur einmal die Woche. Das sind Installationsdateien für Windows, bei denen auch virustotal.com nichts beanstandet. Die liegen auch nur als Backup auf dem Server im files-Verzeichnis meines Users. Aber gut, bei den anderen Servern hat ClamAV bisher noch nie Viren gefunden.

Deine Fehlermeldung habe ich auf jedenfalls auf keinem der Server jemals gehabt. Weder auf dem, wo Viren gefunden werden, noch auf den anderen, wo keine Viren gefunden werden. Deine Whitelist spart natürlich einiges an Ressourcen ein für den Virenscanner. Weniger Signaturen eben.

Du hast zwar wenig freies, also unbenutztes RAM, aber das meiste sind irgendwelche Caches, die das System eigentlich nötigenfalls freigeben müsste, um fehlendes RAM freizumachen. Müsste... Aber ist halt immer so eine Sache mit dem Wörtchen "müsste". Also gib dem System mal ordentlich Swap, vielleicht klappt es dann ja. Wenn nicht, dann wissen wir wenigstens, dass es nicht daran liegt.

[BuCo]

Die Exit-Codes vom clamscan sind wie folgt:

0 - Alles okay, kein Virus
1 - Alles okay aber Virus gefunden
2 - Fehler bei der Ausführung.

Den Fehler "Abort, anti virus scanner failed." seitens KeyHelp erhälst du, sobald der Exit-Code nicht 0 oder 1 ist.

Ja, ist genau richtig. Hatte ich nur verpennt, zu überprüfen.

Bei uns ist es tatsächlich so, dass wenn der nächtliche Scan mindestens einen "Virus" findet, dann kommt als Exit-Code richtigerweise auch eine 1.

Wenn ich aber die /var/lib/clamav/sigwhitelist.ign2 so anpasse, dass kein Virus gefunden wird, dann kommt bei uns als Exit-Code eine 2.
Damit geht Keyhelp natürlich davon aus, dass es zu Fehlern gekommen ist und meldet dann ein etwas unglücklich gewähltes "Abort, anti virus scanner failed" - nur dass es halt kein "Abbruch" im eigentlichen Sinn ist.

Das bei uns trotz eines eigentlich erfolgreichen Scans eine 2 zurückgemeldet wird, wird höchstwahrscheinlich daran liegen, dass beim Scannen von "/" natürlich auch Dateien dabei sind, bei denen eine "access denied" Meldung kommt.

Lasse ich testweise nur ein einzelnes Verzeichnis mit ein paar Dateien scannen, dann wird auch eine 0 zurückgemeldet.

Gut, wenn man nur 3 Exit-Codes zur Verfügung hat, dann kann man halt nicht sauber zwischen einem "Abbruch" oder einem "während des Scans sind Fehler aufgetreten" unterscheiden.

[BuCo]

Vielen Dank an euch für's Helfen

[Alexander]

Das bei uns trotz eines eigentlich erfolgreichen Scans eine 2 zurückgemeldet wird, wird höchstwahrscheinlich daran liegen, dass beim Scannen von "/" natürlich auch Dateien dabei sind, bei denen eine "access denied" Meldung kommt.

Kannst du die fraglichen Verzeichnisse ggf. noch auf eine Whitelist setzen, so das er diese Fehler nicht bringt?

[BuCo]

Kannst du die fraglichen Verzeichnisse ggf. noch auf eine Whitelist setzen, so das er diese Fehler nicht bringt?

Habe jetzt mal die Ausschlussliste um

Code: Select all

/sys/class/
/sys/devices/
/sys/fs/ext4/
/sys/bus/
/sys/module/

erweitert, denn genau in den Verzeichnissen kommts zu "WARNING"-Meldungen.

Mal sehen, wie das Ergebnis morgen früh aussieht.