ClamAV

ClamAV – El motor antivirus de código abierto para servidores y entornos empresariales

Descripción del programa ClamAV

ClamAV (Clam AntiVirus) es un motor antivirus de código abierto diseñado especialmente para la detección de troyanos, virus, malware y otras amenazas maliciosas. Desarrollado originalmente por Tomasz Kojm y actualmente mantenido por Cisco, ClamAV se ha convertido en el estándar de facto para la protección antivirus en servidores de correo, pasarelas de archivos y entornos empresariales Unix/Linux.

A diferencia de los antivirus comerciales orientados a usuarios domésticos, ClamAV está concebido como una herramienta de servidor, pensada para integrarse en infraestructuras existentes y automatizar el análisis de archivos. Su principal fortaleza radica en ofrecer un motor de escaneo potente, flexible y totalmente gratuito (licencia GPLv2), que puede ser utilizado por organizaciones sin costes de licencia ni suscripciones anuales.

ClamAV proporciona un conjunto de utilidades que incluyen un escáner de línea de comandos (clamscan), un demonio multihilo (clamd) para escaneo bajo demanda de alto rendimiento, y un actualizador automático de bases de datos (freshclam). Está disponible para múltiples plataformas, incluyendo Linux, Windows, macOS, BSD y OpenVMS.

¿Necesitas una solución antivirus gratuita y de código abierto para proteger tu servidor de correo, pasarela de archivos o infraestructura empresarial?

Características clave de ClamAV

1. Motor de escaneo con soporte multi-formato

ClamAV incorpora un potente motor de escaneo capaz de analizar una amplia variedad de formatos de archivo:

El motor incluye capacidades de desempaquetado y descompresión en tiempo real, permitiendo analizar el contenido interno de archivos comprimidos y ejecutables empaquetados sin necesidad de extraerlos manualmente.

2. Escáner de línea de comandos (clamscan)

El comando clamscan permite realizar análisis bajo demanda de archivos y directorios de forma manual. Es ideal para:

• Escaneos puntuales de archivos sospechosos
• Integración en scripts de automatización
• Verificación de archivos subidos por usuarios en aplicaciones web
• Auditorías de seguridad periódicas

3. Demonio multihilo (clamd) para escaneo de alto rendimiento

ClamAV incluye un demonio (clamd) que se ejecuta en segundo plano, cargando la base de datos de firmas en memoria y permitiendo análisis rápidos de múltiples archivos mediante conexiones de socket. Este demonio es:

• Multihilo: puede procesar múltiples solicitudes de escaneo en paralelo
• Escalable: soporta colas de trabajo para gestionar picos de carga
• Configurable: permite ajustar el número máximo de hilos y el tamaño de la cola mediante variables de entorno (CC_CLAMAV_MAXTHREADS, CC_CLAMAV_MAXQUEUE)

El demonio escucha en un socket Unix (/run/clamav/clamd.ctl) o en un socket TCP (localhost:3310) para recibir solicitudes de escaneo de aplicaciones cliente.

4. Actualizador automático de bases de datos (freshclam)

El comando freshclam es la herramienta de actualización de bases de datos de virus, diseñada para ejecutarse periódicamente en segundo plano. Características destacadas:

La base de datos de virus se actualiza múltiples veces al día. El comando freshclam soporta variables de entorno como CURL_CA_BUNDLE para configurar certificados CA personalizados y FRESHCLAM_CLIENT_CERT para autenticación mediante certificado de cliente.

5. Escaneo bajo demanda (On-Access Scanning)

ClamAV puede configurarse para monitorizar directorios específicos y escanear archivos automáticamente cuando son accedidos o modificados. Esta funcionalidad, conocida como On-Access Scanning, es especialmente útil para:

• Monitorizar carpetas de aplicaciones web (ej. directorios de subida de archivos)
• Proteger directorios compartidos en servidores de archivos
• Detectar malware en carpetas temporales de aplicaciones

La herramienta clamonacc es la interfaz para configurar el escaneo bajo demanda, complementando al demonio clamd.

6. Herramientas complementarias

El paquete ClamAV incluye varias utilidades adicionales:

7. Integración con sendmail (Milter)

ClamAV incluye una interfaz Milter para integrarse directamente con sendmail, permitiendo el escaneo de correos electrónicos entrantes y salientes en tiempo real. Esta funcionalidad es especialmente utilizada en servidores de correo para detectar malware en adjuntos.

Explicación detallada del funcionamiento

La arquitectura de ClamAV se compone de varios componentes que trabajan de forma coordinada:

1. Motor de escaneo (libclamav): La biblioteca central que implementa las funciones de detección, disponible como una biblioteca compartida que puede ser utilizada por otras aplicaciones.

2. Firmas de virus (Virus Signatures): ClamAV utiliza bases de datos de firmas que se actualizan periódicamente. Cada firma contiene patrones que identifican amenazas específicas. Las bases de datos se distribuyen en varios archivos:

• main.cvd: Base principal (actualizaciones menos frecuentes)
• daily.cvd: Actualizaciones diarias (nuevas amenazas)
• bytecode.cvd: Firmas basadas en bytecode para detección avanzada

3. Decodificadores y analizadores: El motor incluye módulos específicos para decodificar y analizar diferentes formatos de archivo (archivos comprimidos, documentos, ejecutables), permitiendo inspeccionar el contenido interno incluso cuando está empaquetado o comprimido.

El flujo de trabajo típico del programa es el siguiente:

Fase 1: Actualización de bases de datos
El administrador configura freshclam para ejecutarse periódicamente (vía cron o como servicio systemd). Freshclam se conecta a los servidores de ClamAV, descarga las últimas bases de datos de firmas y las verifica mediante firmas digitales.

Fase 2: Configuración del demonio
Se inicia clamd, que carga las bases de datos en memoria y queda a la escucha en un socket (Unix o TCP) para recibir solicitudes de escaneo.

Fase 3: Escaneo de archivos
Las aplicaciones cliente (ej. servidores de correo, pasarelas de archivos, scripts personalizados) se conectan a clamd y envían rutas de archivos o flujos de datos para su análisis. El demonio procesa las solicitudes de forma paralela utilizando múltiples hilos.

Fase 4: Detección y respuesta
Si se detecta una amenaza, ClamAV devuelve el nombre de la amenaza y el tipo de malware. La aplicación cliente puede entonces tomar acciones como rechazar el archivo, ponerlo en cuarentena, registrar el evento, o notificar al administrador.

El escaneo puede realizarse también de forma offline mediante clamscan, que analiza archivos y directorios sin necesidad de demonio, pero con menor rendimiento en análisis de grandes volúmenes de archivos.

Descarga e instalación de ClamAV

• Desarrollador: Cisco Systems (mantenedor actual)
• Creador original: Tomasz Kojm
• Página oficial: https://www.clamav.net
• Documentación: https://docs.clamav.net
• Versión actual: 1.5.0 (octubre de 2025)
• Tamaño: 212 MB (instalador completo)
• Sistemas operativos compatibles: Linux, Windows, macOS, BSD, OpenVMS
• Arquitecturas: x86_64, i686, ARM (varias distribuciones)
• Licencia: GNU General Public License v2 (GPLv2)

Instalación en Debian/Ubuntu:

# Instalación desde repositorios oficiales
sudo apt update
sudo apt install clamav clamav-daemon clamav-freshclam

# Actualizar bases de datos (primera ejecución)
sudo systemctl stop clamav-freshclam
sudo freshclam
sudo systemctl start clamav-freshclam

Instalación en Red Hat/CentOS/Rocky Linux:

# Instalar EPEL y ClamAV
sudo yum install epel-release
sudo yum install clamav clamav-update clamav-server clamav-server-systemd

# Actualizar bases de datos
sudo freshclam

Instalación en Windows:

• Descargar el instalador MSI desde clamav.net/downloads
• Ejecutar el instalador y seguir las instrucciones
• Disponible también versión portable ZIP

Instalación en macOS:

• Descargar el paquete PKG (universal para x86_64 y ARM)
• Ejecutar el instalador
• Alternativa mediante Homebrew: brew install clamav

Instalación mediante Docker:

docker pull clamav/clamav
docker run -d --name clamav clamav/clamav

Cómo usar ClamAV

Advertencia: ClamAV no ofrece protección en tiempo real por defecto. Para monitorización continua, debe configurarse el demonio clamd y el escaneo bajo demanda (clamonacc).

Paso 1: Actualizar las bases de datos de virus

# Actualización manual
sudo freshclam

# Ver versión actual de las bases de datos
freshclam --version

Paso 2: Escaneo de archivos con clamscan

# Escanear un archivo específico
clamscan archivo_sospechoso.exe

# Escanear un directorio completo recursivamente
clamscan -r /home/usuario/documentos/

# Escanear y mover archivos infectados a cuarentena
clamscan -r --move=/tmp/cuarentena /ruta/a/escanear

# Escanear y eliminar archivos infectados (¡cuidado!)
clamscan -r --remove /ruta/a/escanear

# Escanear con salida detallada y registro
clamscan -r --verbose --log=/var/log/clamscan.log /home/usuario

Paso 3: Configurar y ejecutar el demonio clamd

# Verificar la configuración
clamconf

# Editar configuración (ajustar según necesidades)
sudo nano /etc/clamav/clamd.conf

# Parámetros clave:
# MaxThreads 10                 # Número de hilos de escaneo
# MaxQueue 100                  # Tamaño máximo de cola
# OnAccessPrevention yes        # Activar escaneo bajo demanda

# Iniciar el demonio
sudo systemctl start clamav-daemon
sudo systemctl enable clamav-daemon

# Verificar estado
sudo systemctl status clamav-daemon

Paso 4: Escaneo con clamdscan (utiliza clamd)

# clamdscan es más rápido que clamscan (usa el demonio)
clamdscan --multiscan /ruta/a/escanear

# Escaneo con salida detallada
clamdscan --verbose /ruta/a/escanear

Paso 5: Configurar escaneo bajo demanda (On-Access)

# Editar configuración de clamd para activar On-Access
sudo nano /etc/clamav/clamd.conf

# Añadir las siguientes líneas:
OnAccessPrevention yes
OnAccessIncludePath /ruta/a/monitorizar
OnAccessExcludeUname clamav

# Reiniciar clamd
sudo systemctl restart clamav-daemon

# Ejecutar clamonacc para monitorización en tiempo real
sudo clamonacc -F --log=/var/log/clamonacc.log

Paso 6: Programar actualizaciones y escaneos automáticos

# Añadir entrada en crontab (actualización diaria a las 2 AM)
sudo crontab -e

# Añadir línea:
0 2 * * * /usr/bin/freshclam --quiet

# Escaneo semanal del directorio home (domingo a las 3 AM)
0 3 * * 0 /usr/bin/clamscan -r /home --log=/var/log/clamscan-home.log

Paso 7: Integración con aplicaciones web (ejemplo PHP)

<?php
// Escaneo de archivo subido mediante socket clamd
$socket = stream_socket_client('tcp://localhost:3310');
fwrite($socket, "SCAN ". $archivo_subido. "\n");
$resultado = fgets($socket);
fclose($socket);

if (strpos($resultado, 'FOUND')!== false) {
    // Archivo infectado - rechazar
    echo "Archivo infectado: ". $resultado;
} else {
    // Archivo limpio - procesar
    move_uploaded_file($archivo_subido, $destino);
}?>

Observaciones sobre el programa ClamAV

Posicionamiento en el mercado de antivirus

Frente a soluciones comerciales como Kaspersky, Sophos o ESET, ClamAV se posiciona en un segmento completamente diferente. Mientras los antivirus comerciales se enfocan en la protección de usuarios domésticos con interfaces gráficas y protección en tiempo real, ClamAV está diseñado como herramienta de infraestructura para servidores.

Según datos de 6Sense, ClamAV tiene una cuota de mercado estimada del 0.46% en la categoría de antivirus, con 543 clientes actuales, la mayoría grandes corporaciones (10,000+ empleados) como Cisco, Qantas, BAE Systems, Lowe’s y Upwork.

Comparativa de rendimiento (AV-Test 2025)

ClamXAV (producto comercial basado en ClamAV para macOS) obtuvo en 2025 una puntuación perfecta en las pruebas de AV-Test, con 6/6 en protección, 6/6 en rendimiento y 6/6 en usabilidad. El producto demostró:

Estos resultados indican que el motor subyacente de ClamAV es sólido y efectivo, especialmente en entornos macOS cuando se implementa adecuadamente.

Limitaciones de detección (RNN vs. ClamAV)

Un estudio académico de 2025 comparó la efectividad de un sistema de detección de malware basado en Redes Neuronales Recurrentes (RNN) con ClamAV. Los resultados mostraron:

El estudio concluye que ClamAV, al basarse en detección por firmas, tiene limitaciones frente a malware nuevo o polimórfico, mientras que los enfoques basados en machine learning pueden ofrecer mayor precisión en estos escenarios.

ClamAV vs. otros antivirus para Linux

Casos de uso documentados

• Servidores de correo: Integración con sendmail mediante Milter para escanear adjuntos de correo entrantes y salientes.
• Pasarelas de archivos: Protección de directorios de subida en aplicaciones web mediante On-Access Scanning.
• Entornos de desarrollo: Integración en pipelines CI/CD para escanear imágenes de contenedores antes del despliegue (imagen Docker oficial).
• Infraestructuras cloud: Proveedores como Clever Cloud ofrecen ClamAV como servicio integrado para aplicaciones, activable mediante variable de entorno.

El desarrollador: ClamAV y Cisco

ClamAV fue originalmente desarrollado por Tomasz Kojm y posteriormente adquirido por Sourcefire, que a su vez fue adquirida por Cisco en 2013. Actualmente, Cisco mantiene el proyecto como software de código abierto, con contribuciones de la comunidad. El código fuente está disponible en GitHub, está escrito principalmente en C (81.2%), con componentes en C++, Rust y Python.

La comunidad de ClamAV es activa y se organiza a través de listas de correo, Discord y GitHub. Cisco-Talos, el equipo de inteligencia de amenazas de Cisco, contribuye significativamente al mantenimiento de las bases de datos de firmas.

Recursos y documentación

• Documentación oficial: docs.clamav.net
• Reporte de errores: GitHub Issues (Cisco-Talos/clamav)
• Mailing lists: Anuncios y discusión de usuarios
• Discord: Chat comunitario

Limitaciones importantes

• ❌ Sin protección en tiempo real por defecto: ClamAV es principalmente un escáner bajo demanda. La protección continua requiere configuración adicional de On-Access Scanning.
• ❌ Detección basada en firmas: Menos efectivo contra malware polimórfico o de día cero en comparación con soluciones heurísticas o basadas en ML.
• ❌ Consumo de recursos: El demonio clamd puede consumir recursos significativos (1GB+ RAM recomendado).
• ❌ Interfaz limitada: Es una herramienta de línea de comandos, sin interfaz gráfica integrada.
• ❌ Curva de aprendizaje: Configuración y administración requieren conocimientos de sistemas Unix/Linux.

Alternativa recomendada

Si buscas alternativas a ClamAV para protección antivirus en servidores o entornos empresariales, considera:

Para servidores Linux con protección en tiempo real: Sophos Protection for Linux ofrece protección continua con interfaz de gestión centralizada, aunque es de pago. Avast Antivirus for Linux ofrece versión gratuita para uso personal.

Para detección avanzada de malware (basada en ML): Elastic Security (anteriormente Elastic Endpoint Security) combina detección de malware, prevención de ransomware y respuesta a incidentes en una plataforma unificada, con versión gratuita de código abierto.

Para escaneo de contenedores y pipelines CI/CD: Trivy, Clair o Grype son escáneres de vulnerabilidades específicos para contenedores que complementan a ClamAV, detectando CVEs en imágenes Docker además de malware.

Para usuarios de macOS que buscan interfaz gráfica: ClamXAV es un producto comercial basado en ClamAV que ha obtenido puntuaciones perfectas en las pruebas de AV-Test. Ofrece protección en tiempo real y una interfaz amigable.

Para protección básica en servidores Windows: Windows Defender (integrado en el sistema operativo) es una alternativa que no requiere instalación adicional y ofrece protección en tiempo real con actualizaciones automáticas.

ClamAV es la solución antivirus de referencia para servidores Linux, pasarelas de correo y entornos empresariales que necesitan un motor de escaneo gratuito, fiable y fácil de integrar. Su licencia GPL, su amplio soporte de formatos y su integración con sistemas de correo lo convierten en la opción preferida por administradores de sistemas y desarrolladores.

Sección FAQ

¿ClamAV es gratis o de pago?

ClamAV es completamente gratuito y de código abierto bajo la licencia GNU General Public License v2. No tiene versiones de pago ni costes de suscripción.

¿Funciona en Linux, macOS, Windows 10 y Windows 11?

Sí, ClamAV es multiplataforma. Es compatible con Linux (todas las distribuciones principales), Windows (mediante instalador MSI), macOS (paquete PKG universal), BSD y OpenVMS.

¿Qué diferencia a ClamAV de un antivirus tradicional?

La principal diferencia es su enfoque en servidores y entornos empresariales. Mientras los antivirus tradicionales están diseñados para usuarios domésticos con interfaces gráficas y protección en tiempo real, ClamAV es una herramienta de línea de comandos para integración en infraestructuras existentes, con especial énfasis en servidores de correo y pasarelas de archivos.

¿Puedo usar ClamAV para protección en tiempo real en mi servidor?

Sí, ClamAV puede configurarse para escaneo en tiempo real mediante el demonio clamd y la herramienta clamonacc (On-Access Scanning). Sin embargo, esta configuración requiere recursos adicionales y no es tan sencilla como la protección en tiempo real de antivirus comerciales.

¿Qué ha pasado con el desarrollo de ClamAV?

El desarrollo de ClamAV es activo y continuo. La versión 1.5.0 fue lanzada en octubre de 2025. Cisco mantiene el proyecto como código abierto, con contribuciones de la comunidad a través de GitHub. Las bases de datos de virus se actualizan múltiples veces al día. El proyecto ha añadido recientemente soporte para verificación de firmas CVD externas, opciones FIPS para entornos gubernamentales, y mejoras en la extracción de URIs de HTML y PDF.