Page 1 of 2
Abort, anti virus scanner failed
Posted: Mon 11. Aug 2025, 09:16
by BuCo
Hallo zusammen,
würde mich freuen, wenn mir jemand bei folgendem Problem helfen könnte:
Seit ein paar Tagen schlägt der geplante nächtliche Virenscan fehl.
Fehlermeldung:
Code: Select all
Ein Antiviren-Scan auf dem Server <unser Server> wurde mit dem folgenden Status beendet: Ein Fehler ist aufgetreten.
Abort, anti virus scanner failed.
------------- AV SCAN --------------
Start: 2025-08-11 01:00:01
------ UPDATE VIRUS DATABASE -------
Start: 2025-08-11 01:00:01
End: 2025-08-11 01:00:44
Status: Success
--------------- END ----------------
End: 2025-08-11 04:17:54
Status: Abort, anti virus scanner failed.
Die clamav.log gibt leider keinen Aufschluss
Code: Select all
Mon Aug 11 01:00:44 2025 -> Reading databases from /var/lib/clamav
Mon Aug 11 01:00:57 2025 -> Database correctly reloaded (8844959 signatures)
Mon Aug 11 01:00:57 2025 -> Activating the newly loaded database...
und die freshclam.log leider auch nicht
Code: Select all
Mon Aug 11 01:00:01 2025 -> --------------------------------------
Mon Aug 11 01:00:01 2025 -> ClamAV update process started at Mon Aug 11 01:00:01 2025
Mon Aug 11 01:00:01 2025 -> WARNING: Your ClamAV installation is OUTDATED!
Mon Aug 11 01:00:01 2025 -> WARNING: Local version: 1.0.7 Recommended version: 1.0.9
Mon Aug 11 01:00:01 2025 -> DON'T PANIC! Read https://docs.clamav.net/manual/Installing.html
Mon Aug 11 01:00:01 2025 -> daily database available for update (local version: 27727, remote version: 27728)
Mon Aug 11 01:00:02 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-de309b7a6020921d29ffa894b3b5ce2e.tmp-daily.cld' ...
Mon Aug 11 01:00:06 2025 -> Database test passed.
Mon Aug 11 01:00:07 2025 -> daily.cld updated (version: 27728, sigs: 2076423, f-level: 90, builder: raynman)
Mon Aug 11 01:00:07 2025 -> main.cvd database is up-to-date (version: 62, sigs: 6647427, f-level: 90, builder: sigmgr)
Mon Aug 11 01:00:07 2025 -> bytecode.cvd database is up-to-date (version: 336, sigs: 83, f-level: 90, builder: nrandolp)
Mon Aug 11 01:00:09 2025 -> junk.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:13 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-f78a64334a192c103325e829bd7a490b.tmp-jurlbl.ndb' ...
Mon Aug 11 01:00:13 2025 -> Database test passed.
Mon Aug 11 01:00:13 2025 -> jurlbl.ndb updated (version: custom database, sigs: 12708)
Mon Aug 11 01:00:14 2025 -> phish.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:16 2025 -> rogue.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:17 2025 -> sanesecurity.ftm is up-to-date (version: custom database)
Mon Aug 11 01:00:18 2025 -> sigwhitelist.ign2 is up-to-date (version: custom database)
Mon Aug 11 01:00:20 2025 -> scam.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:21 2025 -> spamimg.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:22 2025 -> spamattach.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:24 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-43c8fe24b1360abfebf4e09d024c467f.tmp-blurl.ndb' ...
Mon Aug 11 01:00:24 2025 -> Database test passed.
Mon Aug 11 01:00:24 2025 -> blurl.ndb updated (version: custom database, sigs: 874)
Mon Aug 11 01:00:25 2025 -> foxhole_generic.cdb is up-to-date (version: custom database)
Mon Aug 11 01:00:26 2025 -> foxhole_filename.cdb is up-to-date (version: custom database)
Mon Aug 11 01:00:28 2025 -> malwarehash.hsb is up-to-date (version: custom database)
Mon Aug 11 01:00:29 2025 -> hackingteam.hsb is up-to-date (version: custom database)
Mon Aug 11 01:00:30 2025 -> winnow_malware.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:31 2025 -> winnow_malware_links.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:32 2025 -> winnow_extended_malware.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:34 2025 -> winnow.attachments.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:35 2025 -> winnow_bad_cw.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:36 2025 -> bofhland_cracked_URL.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:37 2025 -> bofhland_malware_URL.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:38 2025 -> bofhland_phishing_URL.ndb is up-to-date (version: custom database)
Mon Aug 11 01:00:39 2025 -> bofhland_malware_attach.hdb is up-to-date (version: custom database)
Mon Aug 11 01:00:41 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-a5e92dfcac0078fc25302c0870e89f8d.tmp-porcupine.ndb' ...
Mon Aug 11 01:00:41 2025 -> Database test passed.
Mon Aug 11 01:00:41 2025 -> porcupine.ndb updated (version: custom database, sigs: 1506)
Mon Aug 11 01:00:43 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-35a30d95907f5b7b90a31a5df10e6e34.tmp-phishtank.ndb' ...
Mon Aug 11 01:00:43 2025 -> Database test passed.
Mon Aug 11 01:00:43 2025 -> phishtank.ndb updated (version: custom database, sigs: 1)
Mon Aug 11 01:00:44 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-a2180d404c9d9a06d2e67e5d45b8f632.tmp-porcupine.hsb' ...
Mon Aug 11 01:00:44 2025 -> Database test passed.
Mon Aug 11 01:00:44 2025 -> porcupine.hsb updated (version: custom database, sigs: 32)
Mon Aug 11 01:00:44 2025 -> Testing database: '/var/lib/clamav/tmp.d417efedf5/clamav-203fd9f7ece0e4efbfbd9f6002c6c687.tmp-urlhaus.ndb' ...
Mon Aug 11 01:00:44 2025 -> Database test passed.
Mon Aug 11 01:00:44 2025 -> urlhaus.ndb updated (version: custom database, sigs: 11964)
Mon Aug 11 01:00:44 2025 -> Clamd successfully notified about the update.
Ich denke, den Hinweis, dass es eine neue ClamAV-Version 1.0.9 gibt, kann man sicherlich vernachlässigen, oder?
Die Schritte aus dem Thema
viewtopic.php?t=1650 habe ich auch durchgeführt
Code: Select all
root@mail ~ # clamscan --version
ClamAV 1.0.7/27728/Sun Aug 10 10:32:45 2025
root@mail ~ # clamscan --infected --recursive /tmp/
----------- SCAN SUMMARY -----------
Known viruses: 8844959
Engine version: 1.0.7
Scanned directories: 13
Scanned files: 403
Infected files: 0
Data scanned: 844.79 MB
Data read: 542.20 MB (ratio 1.56:1)
Time: 68.726 sec (1 m 8 s)
Start Date: 2025:08:11 08:40:33
End Date: 2025:08:11 08:41:42
root@mail ~ # echo $?
0
Dabei tritt kein Fehler auf.
Woran kann es liegen, dass der nächtliche geplante Scan jeden Tag fehlschlägt?
Vielen Dank schonmal für eure Hilfe.
VG
Norbert
Re: Abort, anti virus scanner failed
Posted: Mon 11. Aug 2025, 09:31
by Alexander
Vermutung: Der Virenscann wird durch den Out-Of-Memory Killer terminiert, weil kein RAM mehr auf dem Server für diese Aufgabe zur Verfügung steht.
Sollte die Antwort liefern.
Re: Abort, anti virus scanner failed
Posted: Mon 11. Aug 2025, 09:51
by BuCo
dmesg gibt folgenden Output
https://nc.busch.eu/index.php/s/r57racBKonNeHaM
Damit kann ich leider so gar nichts anfangen
Kannst du da raus lesen, woran es liegt?
Re: Abort, anti virus scanner failed
Posted: Mon 11. Aug 2025, 10:06
by Florian
Hallo,
da ist nichts zu sehen.
Schau auch ins syslog und such dort nach "oom"
Re: Abort, anti virus scanner failed
Posted: Mon 11. Aug 2025, 11:21
by BuCo
Ich habe mir die /var/log/syslog mal genau angeschaut und auch nach "oom" gesucht.
"oom" kommt in dieser Datei gar nicht vor und auch ansonsten finde ich nichts, was auf den beschriebenen Fehler hin deutet.
Mit welchem genauen Befehl wird denn der nächtliche geplante scan gestartet?
Gibt es eine Möglichkeit, diesen Befehl manuell nochmal mit Debug-Logs über die Konsole auszuführen?
Re: Abort, anti virus scanner failed
Posted: Mon 11. Aug 2025, 11:40
by Alexander
Mit welchem genauen Befehl wird denn der nächtliche geplante scan gestartet?
Sofern nichts weiter konfiguriert wurde ist das der Standard:
Code: Select all
clamscan --infected --recursive --file-list /tmp/keyhelp/anti_virus_scan_paths
Inhalt: /tmp/keyhelp/anti_virus_scan_paths
Wieviel Ram hat denn der Server?
Re: Abort, anti virus scanner failed
Posted: Mon 11. Aug 2025, 14:23
by BuCo
Wieviel Ram hat denn der Server?
Code: Select all
root@mail ~ # free -m
total used free shared buff/cache available
Mem: 64177 27500 3591 278 33085 36677
Swap: 0 0 0
Inhalt von /tmp/keyhelp/anti_virus_scan_paths:
Lasse gerade mal
Code: Select all
clamscan --infected --recursive --verbose --debug --file-list=/tmp/keyhelp/anti_virus_scan_paths --log=/root/clamscan.log --exclude=/home/users/nextcloud/www/nc.busch.eu/data/ --exclude=/var/mail/ --exclude=/var/log/
durchlaufen.
Das dürfte unserer in der Keyhelp GUI unter Einstellungen -> Konfiguration -> Antivirus-Scanner gemachten Einstellungen entsprechen.
Mal schauen, was die log-Datei nach Abschluss dazu sagt.
Re: Abort, anti virus scanner failed
Posted: Mon 11. Aug 2025, 17:56
by Tobi
Gib dem Server mal 2 GB Swap.
Dann sollte es funktionieren.
Re: Abort, anti virus scanner failed
Posted: Tue 12. Aug 2025, 10:05
by BuCo
BuCo wrote: ↑Mon 11. Aug 2025, 14:23
Lasse gerade mal
Code: Select all
clamscan --infected --recursive --verbose --debug --file-list=/tmp/keyhelp/anti_virus_scan_paths --log=/root/clamscan.log --exclude=/home/users/nextcloud/www/nc.busch.eu/data/ --exclude=/var/mail/ --exclude=/var/log/
durchlaufen.
Ist fehlerfrei durchgelaufen.
Ich bin fast davon überzeugt, dass der Fehler in meinem Fall gar kein Fehler im eigentlichen Sinn ist, sondern dass Keyhelp eine Rückmeldung des Virenscanners fälschlicherweise als Fehler interpretiert und zwar immer dann, wenn kein einziger Virus gefunden wurde.
Weil der nächtliche geplante Virenscan in meinem Fall gerne mal ein paar false positives gefunden hat (was mich gestört hat), habe ich die Datei /var/lib/clamav/sigwhitelist.ign2 mit folgendem Inhalt angelegt:
Code: Select all
MiscreantPunch.INFO.NoWordsHasMacro
MiscreantPunch.Suspicious.RemoteTempalteCall
PhishTank.Phishing.5603443
PhishTank.Phishing.6645510
PhishTank.Phishing.6698671
PhishTank.Phishing.6686540
PhishTank.Phishing.6688600
PhishTank.Phishing.6801210
Porcupine.Phishing.51532
Porcupine.Phishing.52548
Porcupine.Phishing.55265
Porcupine.Phishing.58668
Porcupine.Phishing.61190
Porcupine.Junk.55678
Porcupine.Malware.43226
Porcupine.Malware.52899
Porcupine.Malware.52901
Porcupine.Malware.54686
Porcupine.Malware.41917
Sanesecurity.Phishing.Fake.29768
Sanesecurity.Phishing.Fake.Coin.32024
Das führt dazu, dass der Virenscan keinen "Virus" mehr findet und seitdem kommt als Ergebnis "Status: Abort, anti virus scanner failed."
Um zu überprüfen, ob meine Vermutung stimmt, habe ich in der Datei /var/lib/clamav/sigwhitelist.ign2 einfach wieder ein paar Signaturen deaktiviert:
Code: Select all
MiscreantPunch.INFO.NoWordsHasMacro
MiscreantPunch.Suspicious.RemoteTempalteCall
PhishTank.Phishing.5603443
PhishTank.Phishing.6645510
PhishTank.Phishing.6698671
PhishTank.Phishing.6686540
PhishTank.Phishing.6688600
PhishTank.Phishing.6801210
#Porcupine.Phishing.51532
#Porcupine.Phishing.52548
#Porcupine.Phishing.55265
#Porcupine.Phishing.58668
#Porcupine.Phishing.61190
#Porcupine.Junk.55678
#Porcupine.Malware.43226
#Porcupine.Malware.52899
#Porcupine.Malware.52901
#Porcupine.Malware.54686
#Porcupine.Malware.41917
#Sanesecurity.Phishing.Fake.29768
#Sanesecurity.Phishing.Fake.Coin.32024
Dann habe ich den nächtlichen Scan einfach nochmal manuell über "Einstellungen -> Wartungsintervalle -> Virenprüfung durchführen" gestartet
Ergebnis:
Code: Select all
Hallo keyadmin!
Ein Antiviren-Scan auf dem Server mail.busch.eu wurde mit dem folgenden Status beendet: Es wurden Viren gefunden.
------------- AV SCAN --------------
Start: 2025-08-12 05:59:01
------ UPDATE VIRUS DATABASE -------
Start: 2025-08-12 05:59:01
End: 2025-08-12 05:59:34
Status: Success
----- INFECTIONS (UNOFFICIAL) ------
/home/keyhelp/www/keyhelp.webstats/mail-bsuch/www.busch.eu/2024-01/awstats.www.busch.eu.refererpages.html: Sanesecurity.Phishing.Fake.29768.UNOFFICIAL FOUND
/home/keyhelp/www/keyhelp.webstats/mail-bsuch/www.busch.eu/2023-10/awstats.www.busch.eu.refererpages.html: Sanesecurity.Phishing.Fake.29768.UNOFFICIAL FOUND
/usr/share/nmap/nmap-services: Sanesecurity.Phishing.Fake.Coin.32024.UNOFFICIAL FOUND
/var/lib/apt/lists/deb.debian.org_debian_dists_bookworm_main_i18n_Translation-en: Porcupine.Phishing.58668.UNOFFICIAL FOUND
---------- SCAN LOCATIONS ----------
/
----------- SCAN SUMMARY -----------
Known viruses: 8845029
Engine version: 1.0.7
Scanned directories: 229863
Scanned files: 737259
Infected files: 4
Total errors: 618
Data scanned: 43575.61 MB
Data read: 60227.77 MB (ratio 0.72:1)
Time: 11710.375 sec (195 m 10 s)
Start Date: 2025:08:12 05:59:34
End Date: 2025:08:12 09:14:45
--------------- END ----------------
End: 2025-08-12 09:14:45
Status: Success
Mit freundlichen Grüßen
Ihr Support-Team
Wie man sieht gibt es jetzt "Status: Success".
Lass ich den Scan nochmal manuell mit allen aktivierten Signaturen in der Whitelist laufen dann gibt es als Ergebnis wieder den im Betreff angegebenen Fehler.
Könnt ihr das bei euch nachvollziehen und könnt ihr das vielleicht im nächsten Update ändern?
Re: Abort, anti virus scanner failed
Posted: Tue 12. Aug 2025, 10:31
by Alexander
Ich bin fast davon überzeugt, dass der Fehler in meinem Fall gar kein Fehler im eigentlichen Sinn ist, sondern dass Keyhelp eine Rückmeldung des Virenscanners fälschlicherweise als Fehler interpretiert und zwar immer dann, wenn kein einziger Virus gefunden wurde.
Die Exit-Codes vom clamscan sind wie folgt:
0 - Alles okay, kein Virus
1 - Alles okay aber Virus gefunden
2 - Fehler bei der Ausführung.
Den Fehler "Abort, anti virus scanner failed." seitens KeyHelp erhälst du, sobald der Exit-Code nicht 0 oder 1 ist.
Mit dieser Datei hat KeyHelp zum Beispiel garnichts zu tun:
Du müsstest wenn dann einmal komplett darlegen, welche Änderungen du in die Clamscan-Konfiguration eingebaut und mit welchen Parametern bei dir Clamscan läuft, damit es jemand nachstellen kann.
Bei einem regulären KeyHelp System, welches ausschließlich über die Parameter unter "Konfiguration -> Antivirus-Scanner" gesteuert wird, sind mir keine Probleme bekannt.
Re: Abort, anti virus scanner failed
Posted: Tue 12. Aug 2025, 16:02
by tab-kh
Ich benutze Keyhelp auf mehreren Servern. Auf einem davon sind (seit mehr als einem Jahr) einige "false positives", die ClamScan jede Woche (wieder) findet. Bei ir scannt er nur einmal die Woche. Das sind Installationsdateien für Windows, bei denen auch virustotal.com nichts beanstandet. Die liegen auch nur als Backup auf dem Server im files-Verzeichnis meines Users. Aber gut, bei den anderen Servern hat ClamAV bisher noch nie Viren gefunden.
Deine Fehlermeldung habe ich auf jedenfalls auf keinem der Server jemals gehabt. Weder auf dem, wo Viren gefunden werden, noch auf den anderen, wo keine Viren gefunden werden. Deine Whitelist spart natürlich einiges an Ressourcen ein für den Virenscanner. Weniger Signaturen eben.
Du hast zwar wenig freies, also unbenutztes RAM, aber das meiste sind irgendwelche Caches, die das System eigentlich nötigenfalls freigeben müsste, um fehlendes RAM freizumachen. Müsste... Aber ist halt immer so eine Sache mit dem Wörtchen "müsste". Also gib dem System mal ordentlich Swap, vielleicht klappt es dann ja. Wenn nicht, dann wissen wir wenigstens, dass es nicht daran liegt.
Re: Abort, anti virus scanner failed [GELÖST]
Posted: Thu 14. Aug 2025, 10:17
by BuCo
Alexander wrote: ↑Tue 12. Aug 2025, 10:31
Die Exit-Codes vom clamscan sind wie folgt:
0 - Alles okay, kein Virus
1 - Alles okay aber Virus gefunden
2 - Fehler bei der Ausführung.
Den Fehler "Abort, anti virus scanner failed." seitens KeyHelp erhälst du, sobald der Exit-Code nicht 0 oder 1 ist.
Ja, ist genau richtig. Hatte ich nur verpennt, zu überprüfen.
Bei uns ist es tatsächlich so, dass wenn der nächtliche Scan mindestens einen "Virus" findet, dann kommt als Exit-Code richtigerweise auch eine 1.
Wenn ich aber die /var/lib/clamav/sigwhitelist.ign2 so anpasse, dass kein Virus gefunden wird, dann kommt bei uns als Exit-Code eine 2.
Damit geht Keyhelp natürlich davon aus, dass es zu Fehlern gekommen ist und meldet dann ein etwas unglücklich gewähltes "Abort, anti virus scanner failed" - nur dass es halt kein "Abbruch" im eigentlichen Sinn ist.
Das bei uns trotz eines eigentlich erfolgreichen Scans eine 2 zurückgemeldet wird, wird höchstwahrscheinlich daran liegen, dass beim Scannen von "/" natürlich auch Dateien dabei sind, bei denen eine "access denied" Meldung kommt.
Lasse ich testweise nur ein einzelnes Verzeichnis mit ein paar Dateien scannen, dann wird auch eine 0 zurückgemeldet.
Gut, wenn man nur 3 Exit-Codes zur Verfügung hat, dann kann man halt nicht sauber zwischen einem "Abbruch" oder einem "während des Scans sind Fehler aufgetreten" unterscheiden.
Re: Abort, anti virus scanner failed
Posted: Thu 14. Aug 2025, 10:19
by BuCo
Vielen Dank an euch für's Helfen
Re: Abort, anti virus scanner failed
Posted: Thu 14. Aug 2025, 10:22
by Alexander
BuCo wrote: ↑Thu 14. Aug 2025, 10:17
Das bei uns trotz eines eigentlich erfolgreichen Scans eine 2 zurückgemeldet wird, wird höchstwahrscheinlich daran liegen, dass beim Scannen von "/" natürlich auch Dateien dabei sind, bei denen eine "access denied" Meldung kommt.
Kannst du die fraglichen Verzeichnisse ggf. noch auf eine Whitelist setzen, so das er diese Fehler nicht bringt?
Re: Abort, anti virus scanner failed
Posted: Thu 14. Aug 2025, 10:44
by BuCo
Alexander wrote: ↑Thu 14. Aug 2025, 10:22
Kannst du die fraglichen Verzeichnisse ggf. noch auf eine Whitelist setzen, so das er diese Fehler nicht bringt?
Habe jetzt mal die Ausschlussliste um
Code: Select all
/sys/class/
/sys/devices/
/sys/fs/ext4/
/sys/bus/
/sys/module/
erweitert, denn genau in den Verzeichnissen kommts zu "WARNING"-Meldungen.
Mal sehen, wie das Ergebnis morgen früh aussieht.