0

概要

visual studio codeのmicrosoft公式のpythonの拡張機能をインストールした後、clamscanを実行するとマルウェアの反応が出ました。

過去にも似たような議論がされていたようですが、その件は解決したとしてクローズされています。
しかしclamavのウイルス定義は最新の状態に更新して尚、未だにマルウェアとして検出されるというのは異常に感じます。

これはマルウェアと考えるべきなのでしょうか?

$ clamscan /home/USER/ --recursive --infected                                       
...
/home/USER/.config/Code/CachedExtensionVSIXs/ms-python.python-2022.20.1: Win.Trojan.Trojanx-9981435-0 FOUND

----------- SCAN SUMMARY -----------
Known viruses: 8646692
Engine version: 0.103.6
Scanned directories: 16337
Scanned files: 209739
Infected files: 1
Data scanned: 9387.41 MB
Data read: 15554.11 MB (ratio 0.60:1)
Time: 2194.871 sec (36 m 34 s)
Start Date: 2023:01:01 03:50:55
End Date:   2023:01:01 04:27:29

実行環境

OS

$ cat /etc/os-release 
PRETTY_NAME="Ubuntu 22.04.1 LTS"
NAME="Ubuntu"
VERSION_ID="22.04"
VERSION="22.04.1 LTS (Jammy Jellyfish)"
VERSION_CODENAME=jammy
ID=ubuntu
ID_LIKE=debian
HOME_URL="https://www.ubuntu.com/"
SUPPORT_URL="https://help.ubuntu.com/"
BUG_REPORT_URL="https://bugs.launchpad.net/ubuntu/"
PRIVACY_POLICY_URL="https://www.ubuntu.com/legal/terms-and-policies/privacy-policy"
UBUNTU_CODENAME=jammy

clamdバージョン

$ clamd -V
ClamAV 0.103.6/26767/Sat Dec 31 17:24:44 2022
1
  • 微妙にプログラミングの話題からは外れる内容な気もしますが、ひとまず VirusTotal 等で該当ファイルをチェックしてみてはどうでしょうか? / ウイルス検出関連の話をする場合、対策ソフトのバージョンよりも定義ファイル (ClamAV では .cvd ファイル) のバージョンの方が重要になりそうです。
    – cubick
    1月1日 7:21

1 件の回答 1

1

ウイルスチェックソフトがウイルスを誤検出するのはよくあることです。
それを修正する責任はウイルスチェックソフト側にあるでしょう。

例えば私が経験してネット上でもそこそこの事例がある PyInstaller の run.exe/runw.exe というプログラムがウイルスと判断される件ですが、色々なウイルスチェックソフトから散発的に何度も事例が発生しているようです。
PyInstallerでもIssue記事がありますが、チェックソフトのベンダーに問い合わせてください、となっています。
run.exe as malware #3802

Please contact you anti-virus vendor. There is nothing we can do about this false positive.
ウイルス対策ベンダーにお問い合わせください。この偽陽性に対して私たちができることは何もありません。

If your anti-virus vendor considers one of the files included in the PyInstaller distribution or a file generated by PyInstaller to be malicious, there is nothing we can do about this. Even if we'd change our code, they'd change their pattern and the race starts again.
ウイルス対策ベンダーが、PyInstaller ディストリビューションに含まれるファイルまたは PyInstaller によって生成されたファイルのいずれかが悪意のあるものであると見なした場合、これについて私たちができることは何もありません。コードを変更しても、パターンが変更され、レースが再開されます。

ちなみにPyInstallerはPythonスクリプトから実行ファイルを作るものなので、出来上がるプログラムへの対策を行う事例はいくつか見つかります。
【python】PyInstaller で作った実行ファイルが crowdstrike で誤検知


ClamAVというのはオープンソースで無料のソフトのようですが、最初に書かれている概要を見るとメールゲートウェイで使うことが主題であり、PC内にあるファイルのウイルスチェックは微妙にズレた使い方かもしれませんね。
ClamAV

The Standard
ClamAV® is the open-source standard for mail gateway-scanning software.

取り得る選択肢は以下のようなものが考えられます。

  • ウイルスチェックソフトの開発元に連絡して詳しいチェックと対策を行ってもらう。
  • ウイルスチェックソフトを他のものに変える。
  • ウイルスチェックソフトのVSCodeのPython拡張機能への指摘を無視する設定を行う。
  • ウイルスチェックソフト/VSCodeのPython拡張機能のどちらかの使用を辞める。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。