ClamAV – Fehler bei Signaturupdate durch veraltete URLhaus-Adresse

[musenit]

Thema: ClamAV – Fehler bei Signaturupdate durch veraltete URLhaus-Adresse in der Standardkonfiguration

Ich bin sicher, dass die Ursache des Problems bei KeyHelp liegt
Ja, hinsichtlich der von KeyHelp bereitgestellten Standardkonfiguration. Der eigentliche Downloadfehler wird durch eine nicht mehr funktionierende Adresse des externen Signaturanbieters URLhaus verursacht.

Server-Betriebssystem + Version
Debian 13 (Trixie)

Eingesetzte Server-Virtualisierung-Technologie
KVM (manitu vServer)

KeyHelp-Version + Build-Nummer
26.1.1 (Build 3698)

Problembeschreibung / Fehlermeldungen
Hallo zusammen,
bei einem automatischen Virenscan über KeyHelp am 25.10.2026 wurde die Aktualisierung der Virendatenbanken als fehlgeschlagen gemeldet.
Die Ursache konnte ich anhand des FreshClam-Protokolls auf folgende Downloadadresse zurückführen:

Code: Select all

https://urlhaus.abuse.ch/downloads/urlhaus.ndb

Der Download wird wiederholt mit HTTP-Status 410 (Gone) abgewiesen. Offenbar ist diese Adresse nicht mehr gültig, da URLhaus inzwischen einen API-Schlüssel für den Zugriff auf seine Signaturdatenbanken verlangt.
Die betreffende URL ist Bestandteil der KeyHelp-Standardkonfiguration unter:
Antivirus-Scanner → Zusätzliche Virensignaturen → Beste Erkennungsrate
Die übrigen Signaturdatenbanken werden offenbar erfolgreich aktualisiert. Trotzdem wird der gesamte Aktualisierungsvorgang als fehlgeschlagen gemeldet.

Erwartetes Ergebnis
Die von KeyHelp bereitgestellte Standardkonfiguration sollte ausschließlich gültige und erreichbare Downloadadressen enthalten.
Nicht mehr funktionierende Signaturquellen sollten im Rahmen der Pflege der Standardkonfiguration entfernt oder durch gültige Adressen ersetzt werden.
Das automatische Update der Virendatenbanken sollte ohne Fehlermeldung abgeschlossen werden.

Tatsächliches Ergebnis
Der Virenscanner verwendet weiterhin die nicht mehr funktionierende URLhaus-Adresse.
FreshClam versucht mehrfach, die betreffende Signaturdatenbank herunterzuladen, und beendet schließlich den Aktualisierungsvorgang mit einer Fehlermeldung.
Dadurch meldet auch KeyHelp den Aktualisierungsstatus als fehlgeschlagen, obwohl andere Datenbanken erfolgreich aktualisiert wurden.

Schritte zur Reproduktion
1. Unter Antivirus-Scanner → Zusätzliche Virensignaturen die Einstellung „Beste Erkennungsrate“ auswählen.
2. Überprüfen, dass die URLhaus-Adresse in der vorgegebenen Signaturliste enthalten ist.
3. Den automatischen Virenscan einschließlich Aktualisierung der Virendatenbanken ausführen lassen.
4. Den Update-Status und das FreshClam-Protokoll kontrollieren.

Zusätzliche Informationen
Verwendete ClamAV-Version: 1.4.3
Auszug aus /var/log/clamav/freshclam.log vom 25.10.2026:

Code: Select all

01:01:07 WARNING: Unexpected response (410)
from https://urlhaus.abuse.ch/downloads/urlhaus.ndb

01:01:12 WARNING: Unexpected response (410)
from https://urlhaus.abuse.ch/downloads/urlhaus.ndb

01:01:17 WARNING: Unexpected response (410)
from https://urlhaus.abuse.ch/downloads/urlhaus.ndb

01:01:22 WARNING: Unexpected response (410)
from https://urlhaus.abuse.ch/downloads/urlhaus.ndb

01:01:27 ERROR: Unexpected response (410)
from https://urlhaus.abuse.ch/downloads/urlhaus.ndb

01:01:27 ERROR: Database update process failed:
HTTP GET failed

01:01:27 ERROR: Update failed.

Als Workaround wäre es möglich, auf „Benutzerdefinierte Konfiguration“ umzustellen und die betroffene URL aus der Liste zu entfernen.
Allerdings würde ich die von KeyHelp bereitgestellte Standardkonfiguration gerne weiterhin nutzen, um auch zukünftige Änderungen an den Signaturquellen automatisch übernehmen zu können.

Fragen:

1. Ist vorgesehen, die nicht mehr funktionierende URLhaus-Adresse in der KeyHelp-Standardkonfiguration zu entfernen oder durch eine gültige Quelle zu ersetzen?

2. Wird die Signaturliste unter „Beste Erkennungsrate“ grundsätzlich im Rahmen regulärer KeyHelp-Updates aktualisiert und gepflegt, sodass beispielsweise neue Signaturquellen automatisch ergänzt werden?

3. Gibt es eine Möglichkeit, einzelne Signaturquellen aus der Standardkonfiguration auszuschließen, ohne vollständig auf eine benutzerdefinierte und damit selbst zu pflegende Liste umstellen zu müssen?

Vielen Dank für eine Rückmeldung!

[toxwood]

Hi, habe das Problem auch in den Freshclam Log gesehen.

URLhaus hat die API-Zugriffe geändert bzw. stärker begrenzt. Der Auth-Key allein bedeutet nicht, dass jeder API-Endpunkt beliebig oft abgefragt werden darf. Bei ungewöhnlich hoher Abfragefrequenz kann das Konto bis zu 72 Stunden eingeschränkt werden.

Für deinen konkreten Fall ist aber noch wichtiger:
- Die ClamAV-Signaturdatenbank existiert weiterhin.
- Sie wird laut URLhaus einmal pro Minute aktualisiert.
- Der Download ist login-/Auth-Key-geschützt.
- Die exakte Download-URL wird auf der API-Seite erst nach Anmeldung angezeigt. URLhaus veröffentlicht den Pfad momentan nicht offen in der Dokumentation. Man muss sich registieren und einen Aut Key erstellen, dann Save Profil und dann wenn eingeloggt auf https://urlhaus.abuse.ch/api/ runter scrollen bis zu Download ClamAV signature Database Dort wird dann automatisch der zuvor generierte Auth Key in deru URL übernommen.
Diesen Link im Keyhelp

Code: Select all

https://DEINEKEYHELPURL/ndex.php?page=admin_configuration&configure=av_scanner 

unter Benutzerdefinierte Konfiguration Eingetragen. !!!!!!!!!!!Vorsicht Benutzerdefiniert löscht vorhandene Eintrage, vorher sichern!!!!!
Funktioniert bei mir nun wieder!

Have Fun!

Hier die richtige Liste:

Code: Select all

https://ftp.swin.edu.au/sanesecurity/junk.ndb
https://ftp.swin.edu.au/sanesecurity/jurlbl.ndb
https://ftp.swin.edu.au/sanesecurity/phish.ndb
https://ftp.swin.edu.au/sanesecurity/rogue.hdb
https://ftp.swin.edu.au/sanesecurity/sanesecurity.ftm
https://ftp.swin.edu.au/sanesecurity/sigwhitelist.ign2
https://ftp.swin.edu.au/sanesecurity/scam.ndb
https://ftp.swin.edu.au/sanesecurity/spamimg.hdb
https://ftp.swin.edu.au/sanesecurity/spamattach.hdb
https://ftp.swin.edu.au/sanesecurity/blurl.ndb
https://ftp.swin.edu.au/sanesecurity/foxhole_generic.cdb
https://ftp.swin.edu.au/sanesecurity/foxhole_filename.cdb
https://ftp.swin.edu.au/sanesecurity/malwarehash.hsb
https://ftp.swin.edu.au/sanesecurity/hackingteam.hsb
https://ftp.swin.edu.au/sanesecurity/winnow_malware.hdb
https://ftp.swin.edu.au/sanesecurity/winnow_malware_links.ndb
https://ftp.swin.edu.au/sanesecurity/winnow_extended_malware.hdb
https://ftp.swin.edu.au/sanesecurity/winnow.attachments.hdb
https://ftp.swin.edu.au/sanesecurity/winnow_bad_cw.hdb
https://ftp.swin.edu.au/sanesecurity/bofhland_cracked_URL.ndb
https://ftp.swin.edu.au/sanesecurity/bofhland_malware_URL.ndb
https://ftp.swin.edu.au/sanesecurity/bofhland_phishing_URL.ndb
https://ftp.swin.edu.au/sanesecurity/bofhland_malware_attach.hdb
https://ftp.swin.edu.au/sanesecurity/porcupine.ndb
https://ftp.swin.edu.au/sanesecurity/porcupine.hsb
https://ftp.swin.edu.au/sanesecurity/phishtank.ndb
https://urlhaus-api.abuse.ch/v1/files/exports/DEIN AUTH KEY HIER REIN/urlhaus.ndb

[toxwood]

Sorry, kleiner Fehler eingeschlichen, es muss heißen (V2)

Code: Select all

https://urlhaus-api.abuse.ch/v2/files/exports/ -DEINAUTH-KEY- /urlhaus_clamav.ndb

[musenit]

Hi, habe das Problem auch in den Freshclam Log gesehen.
URLhaus hat die API-Zugriffe geändert bzw. stärker begrenzt. Der Auth-Key allein bedeutet nicht, dass jeder API-Endpunkt beliebig oft abgefragt werden darf. Bei ungewöhnlich hoher Abfragefrequenz kann das Konto bis zu 72 Stunden eingeschränkt werden.
https://urlhaus-api.abuse.ch/v1/files/exports/DEIN AUTH KEY HIER REIN/urlhaus.ndb[/code]

Danke für deinen Tipp.
Ich hoffe aber eigentlich, dass es dafür eine native Lösung von Keyhelp gibt, ohne auf eine selbstverwaltete Signaturliste wechseln zu müssen. Außerdem, der persönliche URLhaus-Auth-Key wäre Bestandteil der Downloadadresse und damit möglicherweise in Konfigurationsdateien und Protokollen sichtbar.

Es bleiben meine Fragen:

1. Wird KeyHelp die nicht mehr funktionierende URLhaus-Adresse aus seiner Standardkonfiguration entfernen?
2. Wird die Standardliste der Virensignaturen von KeyHelp regelmäßig gepflegt?
3. Kann man einzelne Quellen ausschließen, ohne auf eine vollständig benutzerdefinierte Konfiguration wechseln zu müssen?