master.conf

   1 # This file contains master configuration settings for clamav-unofficial-sigs.sh
   2 ################################################################################
   3 # This is property of eXtremeSHOK.com
   4 # You are free to use, modify and distribute, however you may not remove this notice.
   5 # Copyright (c) Adrian Jon Kriel :: admin@extremeshok.com
   6 # License: BSD (Berkeley Software Distribution)
   7 ################################################################################
   8 #
   9 # DO NOT EDIT THIS FILE !!  DO NOT EDIT THIS FILE !!  DO NOT EDIT THIS FILE !!
  10 #
  11 ################################################################################
  12 #
  13 # SET YOUR CUSTOM OPTIONS AND SETTINGS IN THE user.conf
  14 #
  15 # os.conf (os.***.conf) AND user.conf OVERRIDES THE OPTIONS IN THIS FILE
  16 #
  17 ################################################################################
  18
  19 # Edit the quoted variables below to meet your own particular needs
  20 # and requirements, but do not remove the "quote" marks.
  21
  22 # Set the appropriate ClamD user and group accounts for your system.
  23 # If you do not want the script to set user and group permissions on
  24 # files and directories, comment the next two variables.
  25 #clam_user="clamav"
  26 #clam_group="clamav"
  27
  28 # If you do not want the script to change the file mode of all signature
  29 # database files in the ClamAV working directory to 0644 (-rw-r--r--):
  30 #
  31 # owner: read, write
  32 # group: read
  33 # world: read
  34 #
  35 # as defined in the "clam_dbs" path variable below, then set the following
  36 # "setmode" variable to "no".
  37 setmode="yes"
  38
  39 # Set path to ClamAV database files location.  If unsure, check
  40 # your clamd.conf file for the "DatabaseDirectory" path setting.
  41 clam_dbs="/var/lib/clamav"
  42
  43 # Set path to clamd.pid file (see clamd.conf for path location).
  44 clamd_pid="/var/run/clamav/clamd.pid"
  45
  46 # To enable "ham" (non-spam) directory scanning and removal of
  47 # signatures that trigger on ham messages, uncomment the following
  48 # variable and set it to the appropriate ham message directory.
  49 #ham_dir="/var/lib/clamav-unofficial-sigs/ham-test"
  50
  51 # If you would like to reload the clamd databases after an update,
  52 # change the following variable to "yes".
  53 reload_dbs="yes"
  54
  55 # Custom Command to do a full clamd reload, this is only used when reload_dbs is enabled
  56 clamd_reload_opt="clamdscan --reload"
  57
  58 # Top level working directory, script will attempt to create them.
  59 work_dir="/var/lib/clamav-unofficial-sigs"   #Top level working directory
  60
  61 # Log update information to '$log_file_path/$log_file_name'.
  62 logging_enabled="yes"
  63 log_file_path="/var/log/clamav-unofficial-sigs"
  64 log_file_name="clamav-unofficial-sigs.log"
  65 ## Use a program to log messages
  66 #log_pipe_cmd="/usr/bin/logger -it 'clamav-unofficial-sigs'"
  67
  68
  69 # =========================
  70 # MalwarePatrol : https://www.malwarepatrol.net
  71 # MalwarePatrol 2016 (free) clamav signatures
  72 #
  73 # 1. Sign up for an account : https://www.malwarepatrol.net/free-guard-upgrade-option/
  74 # 2. You will recieve an email containing your password/receipt number
  75 # 3. Login to your account at malwarePatrol
  76 # 4. In My Accountpage, choose the ClamAV list you will download. Free subscribers only get ClamAV Basic, commercial subscribers have access to ClamAV Extended. Do not use the agressive lists.
  77 # 5. In the download URL, you will see 3 parameters: receipt, product and list, enter them in the variables below.
  78
  79 malwarepatrol_receipt_code="YOUR-RECEIPT-NUMBER"
  80 malwarepatrol_product_code="8"
  81 malwarepatrol_list="clamav_basic" # clamav_basic or clamav_ext
  82 # if the malwarepatrol_product_code is not 8,
  83 # the malwarepatrol_free is set to no (non-free)
  84 # set to no to enable the commercial subscription url,
  85 malwarepatrol_free="yes"
  86
  87 # =========================
  88 # SecuriteInfo : https://www.SecuriteInfo.com
  89 # SecuriteInfo 2015 free clamav signatures
  90 #
  91 # Usage of SecuriteInfo 2015 free clamav signatures : https://www.securiteinfo.com
  92 # - 1. Sign up for a free account : https://www.securiteinfo.com/clients/customers/signup
  93 # - 2. You will recieve an email to activate your account and then a followup email with your login name
  94 # - 3. Login and navigate to your customer account : https://www.securiteinfo.com/clients/customers/account
  95 # - 4. Click on the Setup tab
  96 # - 5. You will need to get your unique identifier from one of the download links, they are individual for every user
  97 # - 5.1. The 128 character string is after the http://www.securiteinfo.com/get/signatures/
  98 # - 5.2. Example https://www.securiteinfo.com/get/signatures/your_unique_and_very_long_random_string_of_characters/securiteinfo.hdb
  99 #   Your 128 character authorisation signature would be : your_unique_and_very_long_random_string_of_characters
 100 # - 6. Enter the authorisation signature into the config securiteinfo_authorisation_signature: replacing YOUR-SIGNATURE-NUMBER with your authorisation signature from the link
 101
 102 securiteinfo_authorisation_signature="YOUR-SIGNATURE-NUMBER"
 103 securiteinfo_premium="no"
 104
 105 # ========================
 106 # Database provider update time
 107 # ========================
 108 # Since the database files are dynamically created, non default values can cause banning, change with caution
 109 additional_update_hours="4"   # Default is 4 hours (6 downloads daily).
 110 linuxmalwaredetect_update_hours="6"   # Default is 6 hours (4 downloads daily).
 111 malwarepatrol_update_hours="24"   # Default is 24 hours (1 downloads daily).
 112 sanesecurity_update_hours="2"   # Default is 2 hours (12 downloads daily).
 113 securiteinfo_update_hours="4"   # Default is 4 hours (6 downloads daily).
 114 urlhaus_update_hours="0"   # Default is 0 hours (Update constantly).
 115 yararulesproject_update_hours="24"   # Default is 24 hours (1 downloads daily).
 116
 117 # ========================
 118 # Enabled Databases
 119 # ========================
 120 # Set to no to disable an entire database, if the database is empty it will also be disabled.
 121 additional_enabled="yes"   # Additional Databases
 122 linuxmalwaredetect_enabled="yes"   # Linux Malware Detect
 123 malwarepatrol_enabled="yes"   # Malware Patrol
 124 sanesecurity_enabled="yes"   # Sanesecurity
 125 securiteinfo_enabled="yes"   # SecuriteInfo
 126 urlhaus_enabled="yes"   # urlhaus
 127 yararulesproject_enabled="no"   # Yara-Rule Project, automatically disabled if clamav is older than 0.100 and enable_yararules is disabled
 128
 129 # Disabled by default
 130 ## Enabling this will also cause the yararulesproject to be enabled if they are det to enabled.
 131 enable_yararules="yes"   #Enables yararules in the various databases, automatically disabled if clamav is older than 0.100
 132
 133 # ========================
 134 # eXtremeSHOK Database format
 135 # ========================
 136 # The new and old database formats are supported for backwards compatibility
 137 #
 138 # New Format Usage:
 139 # declare -a new_example_dbs=(
 140 #       file.name|RATING  #description
 141 # )
 142 #
 143 # Rating (False Positive Rating)
 144 # valid ratings:
 145 # REQUIRED : always used
 146 # LOW : used when the rating is low, medium and high
 147 # MEDIUM : used when the rating is medium and high
 148 # HIGH : used when the rating is high
 149 # LOWONLY : used only when the rating is low
 150 # MEDIUMONLY : used only when the rating is medium
 151 # LOWMEDIUMONLY : used only when the rating is medium or low
 152 # DISABLED : never used, or you can also comment the line out if you want
 153 #
 154 # Old Format is still supported, requiring you to comment out files to disable them
 155 # old_example_dbs="
 156 #       file.name #LOW  description
 157 # "
 158
 159 # Default dbs rating
 160 # valid rating: LOW, MEDIUM, HIGH
 161 default_dbs_rating="MEDIUM"
 162
 163 # Per Database
 164 # These ratings will override the global rating for the specific database
 165 # valid rating: LOW, MEDIUM, HIGH, DISABLED
 166 #linuxmalwaredetect_dbs_rating=""
 167 #sanesecurity_dbs_rating=""
 168 #securiteinfo_dbs_rating=""
 169 #urlhaus_dbs_rating=""
 170 #yararulesproject_dbs_rating=""
 171
 172 # ========================
 173 # Sanesecurity Database(s)
 174 # ========================
 175 # Add or remove database file names between quote marks as needed.  To
 176 # disable usage of any of the Sanesecurity distributed database files
 177 # shown, remove the database file name from the quoted section below.
 178 # Only databases defined as "low" risk have been enabled by default
 179 # for additional information about the database ratings, see:
 180 # http://www.sanesecurity.com/clamav/databases.htm
 181 # Only add signature databases here that are "distributed" by Sanesecuirty
 182 # as defined at the URL shown above.  Database distributed by others sources
 183 # (e.g., SecuriteInfo & MalewarePatrol, can be added to other sections of
 184 # this config file below).  Finally, make sure that the database names are
 185 # spelled correctly or you will experience issues when the script runs
 186 # (hint: all rsync servers will fail to download signature updates).
 187
 188 declare -a sanesecurity_dbs=( # BEGIN SANESECURITY DATABASE
 189 ### SANESECURITY http://sanesecurity.com/usage/signatures/
 190 ## REQUIRED, Do NOT disable
 191 sanesecurity.ftm|REQUIRED  # Message file types, for best performance
 192 sigwhitelist.ign2|REQUIRED  # Fast update file to whitelist any problem signatures
 193 # LOW
 194 blurl.ndb|LOW  # Blacklisted full urls over the last 7 days, covering malware/spam/phishing. URLs added only when main signatures have failed to detect but are known to be "bad"
 195 junk.ndb|LOW  #  General high hitting junk, containing spam/phishing/lottery/jobs/419s etc
 196 jurlbl.ndb|LOW  # Junk Url based
 197 malwarehash.hsb|LOW  # Malware hashes without known Size
 198 phish.ndb|LOW  # Phishing and Malware
 199 rogue.hdb|LOW  # Malware, Rogue anti-virus software and Fake codecs etc.  Updated hourly to cover the latest malware threats
 200 scam.ndb|LOW  # Spam/scams
 201 spamattach.hdb|LOW  # Spam Spammed attachments such as pdf/doc/rtf/zips
 202 spamimg.hdb|LOW  # Spam images
 203 # MEDIUM
 204 badmacro.ndb|MEDIUM  # Blocks dangerous macros embedded in Word/Excel/Xml/RTF/JS documents
 205 jurlbla.ndb|MEDIUM  # Junk Url based autogenerated from various feeds
 206 lott.ndb|MEDIUM  # Lottery
 207 shelter.ldb|MEDIUM # Phishing and Malware
 208 spam.ldb|MEDIUM  # Spam detected using the new Logical Signature type
 209 spear.ndb|MEDIUM  # Spear phishing email addresses (autogenerated from data here)
 210 spearl.ndb|MEDIUM  # Spear phishing urls (autogenerated from data here)
 211
 212 ### MALWARE.EXPERT https://malware.expert/
 213 # LOW
 214 malware.expert.hdb|MEDIUM       # statics MD5 pattern for files
 215 # MEDIUM
 216 malware.expert.fp|MEDIUM  # found to be false positive malware
 217 malware.expert.ldb|MEDIUM  # which use multi-words search for malware in files
 218 malware.expert.ndb|MEDIUM  # Generic Hex pattern PHP malware, which can cause false positive alarms
 219
 220 ### FOXHOLE http://sanesecurity.com/foxhole-databases/
 221 # LOW
 222 foxhole_filename.cdb|LOW  # See Foxhole page for more details
 223 foxhole_generic.cdb|LOW  # See Foxhole page for more details
 224 # MEDIUM
 225 foxhole_js.cdb|MEDIUM  # See Foxhole page for more details
 226 foxhole_js.ndb|MEDIUM  # See Foxhole page for more details
 227 # HIGH
 228 foxhole_all.cdb|HIGH  # See Foxhole page for more details
 229 foxhole_all.ndb|HIGH  # See Foxhole page for more details
 230 foxhole_mail.cdb|HIGH # block any mail that contains a possible dangerous attachments such as: js, jse, exe, bat, com, scr, uue, ace, pif, jar, gz, lnk, lzh.
 231
 232 ### OITC http://www.oitc.com/winnow/clamsigs/index.html
 233 ### Note: the two databases winnow_phish_complete.ndb and winnow_phish_complete_url.ndb should NOT be used together.
 234 # LOW
 235 winnow_bad_cw.hdb|LOW  # md5 hashes of malware attachments acquired directly from a group of botnets
 236 winnow_extended_malware.hdb|LOW  # contain hand generated signatures for malware
 237 winnow_malware_links.ndb|LOW  # Links to malware
 238 winnow_malware.hdb|LOW  # Current virus, trojan and other malware not yet detected by ClamAV.
 239 winnow_phish_complete_url.ndb|LOWMEDIUMONLY  # Similar to winnow_phish_complete.ndb except that entire urls are used
 240 winnow.attachments.hdb|LOW  # Spammed attachments such as pdf/doc/rtf/zip as well as malware crypted configs
 241 # MEDIUM
 242 winnow_extended_malware_links.ndb|MEDIUM  # contain hand generated signatures for malware links
 243 winnow_spam_complete.ndb|MEDIUM  # Signatures to detect fraud and other malicious spam
 244 winnow.complex.patterns.ldb|MEDIUM  # contain hand generated signatures for malware and some egregious fraud
 245 # HIGH
 246 winnow_phish_complete.ndb|HIGH  # Phishing and other malicious urls and compromised hosts **DO NOT USE WITH winnow_phish_complete_url**
 247 ### OITC YARA Format rules
 248 ### Note: Yara signatures require ClamAV 0.100 or newer to work
 249 ##winnow_malware.yara|LOW  # detect spam
 250
 251 ### MiscreantPunch http://malwarefor.me/about/
 252 ## MEDIUM
 253 MiscreantPunch099-Low.ldb|MEDIUM # ruleset contains comprehensive rules for detecting malicious or abnormal Macros, JS, HTA, HTML, XAP, JAR, SWF, and more.
 254 ## HIGH
 255 MiscreantPunch099-INFO-Low.ldb|HIGH # ruleset provides context to various files. Info and Suspicious level signatures may inform analysts of potentially interesting conditions that exist within a document.
 256
 257 ### SCAMNAILER http://www.scamnailer.info/
 258 # MEDIUM
 259 scamnailer.ndb|MEDIUM  # Spear phishing and other phishing emails
 260
 261 ### BOFHLAND http://clamav.bofhland.org/
 262 # LOW
 263 bofhland_cracked_URL.ndb|LOW  # Spam URLs
 264 bofhland_malware_attach.hdb|LOW  # Malware Hashes
 265 bofhland_malware_URL.ndb|LOW  # Malware URLs
 266 bofhland_phishing_URL.ndb|LOW  # Phishing URLs
 267
 268 ###  RockSecurity http://rooksecurity.com/
 269 # LOW
 270 hackingteam.hsb|LOW  # Hacking Team hashes based on work by rooksecurity.com
 271
 272 ### Porcupine
 273 # LOW
 274 phishtank.ndb|LOW  # Online and valid phishing urls from phishtank.com data feed
 275 porcupine.hsb|LOW  # Sha256 Hashes of VBS and JSE malware, kept for 7 days
 276 porcupine.ndb|LOW  # Brazilian e-mail phishing and malware signatures
 277
 278 ### Sanesecurity YARA Format rules
 279 ### Note: Yara signatures require ClamAV 0.100 or newer to work
 280 Sanesecurity_sigtest.yara|LOW  # Sanesecurity test signatures
 281 Sanesecurity_spam.yara|LOW  # Detects Spam emails
 282
 283 ) # END SANESECURITY DATABASES
 284
 285 # ========================
 286 # SecuriteInfo Database(s)
 287 # ========================
 288 # Only active when you set your securiteinfo_authorisation_signature
 289 # Add or remove database file names between quote marks as needed.  To
 290 # disable any SecuriteInfo database downloads, remove the appropriate
 291 # lines below.
 292 declare -a securiteinfo_dbs=( #START SECURITEINFO DATABASES
 293 ### Securiteinfo https://www.securiteinfo.com/services/anti-spam-anti-virus/improve-detection-rate-of-zero-day-malwares-for-clamav.shtml
 294 ## REQUIRED, Do NOT disable
 295 securiteinfo.ign2|REQUIRED # Signature Whitelist
 296 # LOW
 297 javascript.ndb|LOW # Malwares Javascript
 298 securiteinfo.hdb|LOW # Malwares younger than 3 years.
 299 securiteinfoandroid.hdb|LOW # Malwares Java/Android Dalvik
 300 securiteinfoascii.hdb|LOW # Text file malwares (Perl or shell scripts, bat files, exploits, ...)
 301 securiteinfohtml.hdb|LOW # Malwares HTML
 302 securiteinfoold.hdb|LOW # Malwares older than 3 years.
 303 securiteinfopdf.hdb|LOW # Malwares PDF
 304 # HIGH
 305 spam_marketing.ndb|HIGH # Spam Marketing /  spammer blacklist
 306 ) #END SECURITEINFO DATABASES
 307 # NON-FREE DATABASES
 308 declare -a securiteinfo_dbs_premium=( #START SECURITEINFO DATABASES
 309 securiteinfo.mdb|LOW # 0-day Malwares
 310 securiteinfo0hour.hdb|LOW # 0-Hour Malwares
 311 )
 312
 313 # ========================
 314 # LinuxMalwareDetect Database(s)
 315 # ========================
 316 # Add or remove database file names between quote marks as needed.  To
 317 # disable any LinuxMalwareDetect database downloads, remove the appropriate
 318 # lines below.
 319 declare -a linuxmalwaredetect_dbs=(
 320 ### Linux Malware Detect https://www.rfxn.com/projects/linux-malware-detect/
 321 # LOW
 322 rfxn.ndb|LOW # HEX Malware detection signatures
 323 rfxn.hdb|LOW # MD5 Malware detection signatures
 324 rfxn.yara|LOW # Yara Malware detection signatures
 325 ) #END LINUXMALWAREDETECT DATABASES
 326
 327 # ========================
 328 # urlhaus Database(s)
 329 # ========================
 330 # Add or remove database file names between quote marks as needed.  To
 331 # disable any urlhaus database downloads, remove the appropriate
 332 # lines below.
 333 declare -a urlhaus_dbs=(
 334 ### urlhaus https://urlhaus.abuse.ch/browse/
 335 # LOW
 336 urlhaus.ndb|LOW #  malicious URLs that are being used for malware distribution
 337 ) #END URLHAUS DATABASES
 338
 339 # ========================
 340 # Yara Rules Project Database(s)
 341 # ========================
 342 # Add or remove database file names between quote marks as needed.  To
 343 # disable any Yara Rule database downloads, remove the appropriate
 344 # lines below.
 345 declare -a yararulesproject_dbs=(
 346 ### Yara Rules https://github.com/Yara-Rules/rules
 347 #
 348 # Some rules are now in sub-directories. To reference a file in a sub-directory
 349 # use subdir/file
 350 # LOW
 351 # Anti debug and anti virtualization techniques used by malware
 352 antidebug_antivm/antidebug_antivm.yar|LOW
 353 # Aimed toward the detection and existence of Exploit Kits.
 354 #exploit_kits/EK_Angler.yar|LOW # duplicated in rxfn.yara
 355 #exploit_kits/EK_Blackhole.yar|LOW # duplicated in rxfn.yara
 356 exploit_kits/EK_BleedingLife.yar|LOW # duplicated in rxfn.yara
 357 #exploit_kits/EK_Crimepack.yar|LOW # duplicated in rxfn.yara
 358 #exploit_kits/EK_Eleonore.yar|LOW # duplicated in rxfn.yara
 359 #exploit_kits/EK_Fragus.yar|LOW # duplicated in rxfn.yara
 360 #exploit_kits/EK_Phoenix.yar|LOW # duplicated in rxfn.yara
 361 #exploit_kits/EK_Sakura.yar|LOW # duplicated in rxfn.yara
 362 #exploit_kits/EK_ZeroAcces.yar|LOW # duplicated in rxfn.yara
 363 #exploit_kits/EK_Zerox88.yar|LOW # duplicated in rxfn.yara
 364 #exploit_kits/EK_Zeus.yar|LOW # duplicated in rxfn.yara
 365 # Identification of well-known webshells
 366 #webshells/WShell_APT_Laudanum.yar|LOW # duplicated in rxfn.yara
 367 webshells/WShell_ASPXSpy.yar|LOW
 368 webshells/WShell_Drupalgeddon2_icos.yar|LOW
 369 #webshells/WShell_PHP_Anuna.yar|LOW # duplicated in rxfn.yara
 370 #webshells/WShell_PHP_in_images.yar|LOW # duplicated in rxfn.yara
 371 #webshells/WShell_THOR_Webshells.yar|LOW # duplicated in rxfn.yara
 372 #webshells/Wshell_ChineseSpam.yar|LOW # duplicated in rxfn.yara
 373 #webshells/Wshell_fire2013.yar|LOW # duplicated in rxfn.yara
 374 # MEDIUM
 375 # Identification of specific Common Vulnerabilities and Exposures (CVEs)
 376 cve_rules/CVE-2010-0805.yar|MEDIUM
 377 cve_rules/CVE-2010-0887.yar|MEDIUM
 378 cve_rules/CVE-2010-1297.yar|MEDIUM
 379 cve_rules/CVE-2012-0158.yar|MEDIUM
 380 cve_rules/CVE-2013-0074.yar|MEDIUM
 381 cve_rules/CVE-2013-0422.yar|MEDIUM
 382 cve_rules/CVE-2015-1701.yar|MEDIUM
 383 cve_rules/CVE-2015-2426.yar|MEDIUM
 384 cve_rules/CVE-2015-2545.yar|MEDIUM
 385 cve_rules/CVE-2015-5119.yar|MEDIUM
 386 cve_rules/CVE-2016-5195.yar|MEDIUM
 387 cve_rules/CVE-2017-11882.yar|MEDIUM
 388 cve_rules/CVE-2018-20250.yar|MEDIUM
 389 cve_rules/CVE-2018-4878.yar|MEDIUM
 390 # Identification of malicious e-mails.
 391 email/bank_rule.yar|MEDIUM
 392 email/EMAIL_Cryptowall.yar|MEDIUM
 393 email/Email_fake_it_maintenance_bulletin|MEDIUM
 394 email/Email_generic_phishing|MEDIUM
 395 email/Email_quota_limit_warning|MEDIUM
 396 email/email_Ukraine_BE_powerattack.yar|MEDIUM
 397 email/scam.yar|MEDIUM
 398 # Detect well-known software packers, that can be used by malware to hide itself.
 399 packers/JJencode.yar|MEDIUM
 400 packers/packer_compiler_signatures.yar|MEDIUM
 401 packers/packer.yar|MEDIUM
 402 packers/peid.yar|MEDIUM
 403 # HIGH
 404 # Used with documents to find if they have been crafted to leverage malicious code.
 405 maldocs/Maldoc_APT_OLE_JSRat.yar|HIGH
 406 maldocs/Maldoc_APT10_MenuPass.yar|HIGH
 407 maldocs/Maldoc_APT19_CVE-2017-1099.yar|HIGH
 408 maldocs/Maldoc_Contains_VBE_File.yar|HIGH
 409 maldocs/Maldoc_CVE_2017_11882.yar|HIGH
 410 maldocs/Maldoc_CVE_2017_8759.yar|HIGH
 411 maldocs/Maldoc_CVE-2017-0199.yar|HIGH
 412 maldocs/Maldoc_DDE.yar|HIGH
 413 maldocs/Maldoc_Dridex.yar|HIGH
 414 maldocs/Maldoc_hancitor_dropper|HIGH
 415 maldocs/Maldoc_Hidden_PE_file.yar|HIGH
 416 maldocs/Maldoc_malrtf_ole2link.yar|HIGH
 417 maldocs/Maldoc_MIME_ActiveMime_b64.yar|HIGH
 418 maldocs/Maldoc_PDF.yar|HIGH
 419 maldocs/Maldoc_PowerPointMouse.yar|HIGH
 420 maldocs/maldoc_somerules.yar|HIGH
 421 maldocs/Maldoc_Suspicious_OLE_target.yar|HIGH
 422 maldocs/Maldoc_UserForm.yar|HIGH
 423 maldocs/Maldoc_VBA_macro_code.yar|HIGH
 424 maldocs/Maldoc_Word_2007_XML_Flat_OPC.yar|HIGH
 425 # Yara Rules aimed to detect well-known software packers, that can be used by malware to hide itself.
 426 packers/Javascript_exploit_and_obfuscation.yar|HIGH
 427 ) #END yararulesproject DATABASES
 428
 429 declare -a yararulesproject_dbs_blacklisted=(
 430 email/attachment.yar # detects all emails with attachments
 431 email/image.yar # detects all emails with images
 432 email/urls.yar # detects all emails with urls
 433 crypto/crypto_signatures.yar # detects all files which are encrypted
 434 )
 435
 436 declare -a yararulesproject_dbs_catagories=(
 437 #LOW
 438 antidebug_antivm|LOW
 439 cve_rules|LOW
 440 exploit_kits|LOW
 441 malware|LOW
 442 webshells|LOW
 443 #MEDIUM
 444 email|MEDIUM
 445 maldocs|MEDIUM
 446 # HIGH
 447 capabilities|HIGH
 448 crypto|HIGH
 449 packers|HIGH
 450 )
 451
 452
 453 # =========================
 454 # Additional signature databases
 455 # =========================
 456 # Additional signature databases can be specified here in the following
 457 # format: PROTOCOL://URL-or-IP/PATH/TO/FILE-NAME (use a trailing "/" in
 458 # place of the "FILE-NAME" to download all files from specified location,
 459 # but this *ONLY* works for files downloaded via rsync).  For non-rsync
 460 # downloads, wget and curl is used.  For download protocols supported by
 461 # wget and curl, see "man wget" and "man curl".
 462 # This also works well for locations that have many ClamAV
 463 # servers that use 3rd party signature databases, as only one server need
 464 # download the remote databases, and all others can update from the local
 465 # mirrors copy.  See format examples below.  To use, remove the comments
 466 # and examples shown and add your own sites between the quote marks.
 467 #declare -a additional_dbs=(
 468 #   rsync://192.168.1.50/new-db/sigs.hdb
 469 #   rsync://rsync.example.com/all-dbs/
 470 #   ftp://ftp.example.net/pub/sigs.ndb
 471 #   http://www.example.org/sigs.ldb
 472 #) #END ADDITIONAL DATABASES
 473
 474 # ==================================================
 475 # ==================================================
 476 # D E B U G   O P T I O N S
 477 # ==================================================
 478 # ==================================================
 479
 480 # Enable debugging, will cause all options below to enable
 481 debug="no"
 482
 483 # Causes the xshok_file_download function to be verbose, used for debugging
 484 downloader_debug="no"
 485
 486 # Causes clamscan signature test errors to be vebose
 487 clamscan_debug="no"
 488
 489 # Causes curl errors to be vebose
 490 curl_debug="no"
 491
 492 # Causes wget errors to be vebose
 493 wget_debug="no"
 494
 495 # Causes rsync errors to be vebose
 496 rsync_debug="no"
 497
 498 # ==================================================
 499 # ==================================================
 500 # A D V A N C E D   O P T I O N S
 501 # ==================================================
 502 # ==================================================
 503
 504 # Branch for update checking, default: master
 505 git_branch="master"
 506
 507 # Enable support for script and master.conf upgrades
 508 # enbles the --upgrade command line option
 509 # packagers, if required please disable or set this option to no in the os.conf
 510 allow_upgrades="yes"
 511
 512 # Enable support for script and master.conf update checks
 513 # packagers, if required please disable or set this option to no in the os.conf
 514 allow_update_checks="yes"
 515
 516 # How often the script should check for updates
 517 update_check_hours="12"# Default is 12 hours (2 checks  daily).
 518
 519 # Enable or disable download time randomization.  This allows the script to
 520 # be executed via cron, but the actual database file checking will pause
 521 # for a random number of seconds between the "min" and "max" time settings
 522 # specified below.  This helps to more evenly distribute load on the host
 523 # download sites.  To disable, set the following variable to "no".
 524 enable_random="yes"
 525
 526 # Enable to prevent issues with multiple instances running
 527 # To disable, set the following variable to "no".
 528 enable_locking="yes"
 529
 530 # If download time randomization is enabled above (enable_random="yes"),
 531 # then set the min and max radomization time intervals (in seconds).
 532 max_sleep_time="600"   # Default maximum is 600 seconds (10 minutes).
 533 min_sleep_time="60"    # Default minimum is 60 seconds (1 minute).
 534
 535 # Command to do a full clamd service stop/start
 536 #clamd_restart_opt="service clamd restart"
 537
 538 # Custom Command Paths, these are detected with the which command when not set
 539 #clamscan_bin="/usr/bin/clamscan"
 540 #curl_bin="/usr/bin/curl"
 541 #gpg_bin="/usr/bin/gpg"
 542 #rsync_bin="/usr/bin/rsync"
 543 #tar_bin="/usr/bin/tar"
 544 #uname_bin="/usr/bin/uname"
 545 #wget_bin="/usr/bin/wget"
 546
 547 # force wget, by default curl is used when curl and wget is present.
 548 force_wget="no"
 549
 550 # GnuPG / Signature verification
 551 # To disable usage of gpg, set the following variable to "no".
 552 # If gpg_bin cannot be found, enable_gpg will automatically disable
 553 enable_gpg="yes"
 554
 555 # If running clamd in "LocalSocket" mode (*NOT* in TCP/IP mode), and
 556 # either "SOcket Cat" (socat) or the "IO::Socket::UNIX" perl module
 557 # are installed on the system, and you want to report whether clamd
 558 # is running or not, uncomment the "clamd_socket" variable below (you
 559 # will be warned if neither socat nor IO::Socket::UNIX are found, but
 560 # the script will still run).  You will also need to set the correct
 561 # path to your clamd socket file (if unsure of the path, check the
 562 # "LocalSocket" setting in your clamd.conf file for socket location).
 563 #clamd_socket="/tmp/clamd.socket"
 564
 565 # Set rsync connection and data transfer timeout limits in seconds.
 566 # The defaults settings here are reasonable, only change if you are
 567 # experiencing timeout issues.
 568 rsync_connect_timeout="60"
 569 rsync_max_time="180"
 570
 571 # Ignore ssl errors and warnings, ie. operate in insecure mode.
 572 downloader_ignore_ssl="yes" # Default is "yes" ignore ssl errors and warnings
 573
 574 # Set downloader connection, data transfer timeout limits in seconds.
 575 # The defaults settings here are reasonable, only change if you are
 576 # experiencing timeout issues.
 577 downloader_connect_timeout="60"
 578 downloader_max_time="1800"
 579
 580 # Set downloader retry count for failed transfers
 581 downloader_tries="5"
 582
 583 # Set working directory paths (edit to meet your own needs). If these
 584 # directories do not exist, the script will attempt to create them.
 585 # Always located inside the work_dir, do not add /
 586 # Sub-directory names:
 587 add_dir="dbs-add"      # User defined databases sub-directory
 588 gpg_dir="gpg-key"      # Sanesecurity GPG Key sub-directory
 589 linuxmalwaredetect_dir="dbs-lmd"      # Linux Malware Detect sub-directory
 590 malwarepatrol_dir="dbs-mbl"      # MalwarePatrol sub-directory
 591 pid_dir="pid"      # User defined pid sub-directory
 592 sanesecurity_dir="dbs-ss"        # Sanesecurity sub-directory
 593 securiteinfo_dir="dbs-si"        # SecuriteInfo sub-directory
 594 urlhausy_dir="dbs-uh"        # urlhaus sub-directory
 595 work_dir_configs="configs"   # Script configs sub-directory
 596 yararulesproject_dir="dbs-yara"      # Yara-Rules sub-directory
 597
 598 # If you would like to make a backup copy of the current running database
 599 # file before updating, leave the following variable set to "yes" and a
 600 # backup copy of the file will be created in the production directory
 601 # with -bak appended to the file name.
 602 keep_db_backup="no"
 603
 604 # When a database integrity has tested BAD, the failed database will be removed.
 605 remove_bad_database="yes"
 606
 607 # When a database is disabled we will remove the associated database files.
 608 remove_disabled_databases="no" # Default is "no" since we are not a database managament tool by default.
 609
 610 # Enable SELinux fixes, ie. running restorecon on the database files.
 611 # **Run the following command as root to enable clamav selinux support**
 612 # setsebool -P antivirus_can_scan_system true
 613 #
 614 selinux_fixes="no" # Default is "no" ignore ssl errors and warnings
 615
 616 # Proxy Support
 617 # If necessary to proxy database downloads, define the rsync, curl, wget, dig, hosr proxy settings here.
 618 #rsync_proxy="username:password@proxy_host:proxy_port"
 619 #curl_proxy="--proxy http://username:password@proxy_host:proxy_port"
 620 #wget_proxy="-e http_proxy=http://username:password@proxy_host:proxy_port -e https_proxy=https://username:password@proxy_host:proxy_port"
 621 #dig_proxy="@proxy_host -p proxy_host:proxy_port"
 622 #host_proxy="@proxy_host" #does not support port
 623
 624 # Custom Cron install settings, these are detected and only used if you want to override
 625 # the automatic detection and generation of the values when not set, this is mainly to aid package maintainers
 626 #cron_dir="" #default: /etc/cron.d
 627 #cron_filename="" #default: clamav-unofficial-sigs
 628 #cron_minute="" #default: random value between 0-59
 629 #cron_user="" #default: uses the clam_user
 630 #cron_sudo="no" #default no, yes will append sudo -u before the username
 631 #cron_bash="" #default: detected with the which command
 632 #cron_script_full_path="" #default: detected to the fullpath of the script
 633
 634 # Custom logrotate install settings, these are detected and only used if you want to override
 635 # the automatic detection and generation of the values when not set, this is mainly to aid package maintainers
 636 #logrotate_dir="" #default: /etc/logrotate.d
 637 #logrotate_filename="" #default: clamav-unofficial-sigs
 638 #logrotate_user="" #default: uses the clam_user
 639 #logrotate_group="" #default: uses the clam_group
 640 #logrotate_log_file_full_path="" #default: detected to the $log_file_path/$log_file_name
 641
 642 # Custom man install settings, these are detected and only used if you want to override
 643 # the automatic detection and generation of the values when not set, this is mainly to aid package maintainers
 644 #man_dir="" #default: /usr/share/man/man8
 645 #man_filename="" #default: clamav-unofficial-sigs.8
 646
 647 # Provided two variables that package and port maintainers can use in order to
 648 # prevent the script from removing itself with the '-r' flag
 649 # If the script was installed via a package manager like yum, apt, pkg, etc.
 650 # The script will instead provide feedback to the user about how to uninstall the package.
 651 #pkg_mgr="" #the package manager name
 652 #pkg_rm="" #the package manager command to remove the script
 653
 654 # Custom full working directory paths, these are detected and only used if you want to override
 655 # the automatic detection and generation of the values when not set, this is mainly to aid package maintainers
 656 #work_dir_add="" #default: uses work_dir/add_dir
 657 #work_dir_gpg="" #default: uses work_dir/gpg_dir
 658 #work_dir_linuxmalwaredetect="" #default: uses work_dir/linuxmalwaredetect_dir
 659 #work_dir_malwarepatrol="" #default: uses work_dir/malwarepatrol_dir
 660 #work_dir_pid="" #default: uses work_dir/pid_dir
 661 #work_dir_sanesecurity="" #default: uses work_dir/sanesecurity_dir
 662 #work_dir_securiteinfo="" #default: uses work_dir/securiteinfo_dir
 663 #work_dir_urlhaus="" #default: uses work_dir/urlhaus_dir
 664 #work_dir_work_configs="" #default: uses work_dir/work_dir_configs
 665 #work_dir_yararulesproject="" #default: uses work_dir/yararulesproject_dir
 666
 667 # ========================
 668 # After you have completed the configuration of this file, set the value to "yes"
 669 user_configuration_complete="no"
 670
 671 # ========================
 672 # DO NOT EDIT !
 673 # Database provider URLs
 674 linuxmalwaredetect_sigpack_url="https://cdn.rfxn.com/downloads/maldet-sigpack.tgz"
 675 linuxmalwaredetect_version_url="https://cdn.rfxn.com/downloads/maldet.sigs.ver"
 676 malwarepatrol_url="https://lists.malwarepatrol.net/cgi/getfile"
 677 sanesecurity_gpg_url="http://www.sanesecurity.net/publickey.gpg"
 678 sanesecurity_url="rsync.sanesecurity.net"
 679 securiteinfo_url="https://www.securiteinfo.com/get/signatures"
 680 urlhaus_url="https://urlhaus.abuse.ch/downloads"
 681 yararulesproject_url="https://raw.githubusercontent.com/Yara-Rules/rules/master"
 682
 683 # ========================
 684 # DO NOT EDIT !
 685 config_version="91"
 686
 687 ################################################################################
 688 #
 689 # DO NOT EDIT THIS FILE !!  DO NOT EDIT THIS FILE !!  DO NOT EDIT THIS FILE !!
 690 #
 691 ################################################################################
 692 # https://eXtremeSHOK.com ######################################################