Die Macher des Virenscanners ClamAV wollen ihre Signaturdatenbank verschlanken. Dazu werfen sie Signaturen über Bord, die „keinen Wert mehr für die Community“ haben. Das führt jedoch zu einem unangenehmen Nachteil.

Der Virenscanner ClamAV erkennt Malware mithilfe von Signaturen, die wiederum eine entsprechende Datenbank sammelt. Seit dem Erscheinen von ClamAV im Jahr 2002 kamen stets neue Signaturen hinzu, so dass die Signaturdatenbank mittlerweile stark angewachsen ist. Da gleichzeitig immer mehr Nutzer den Virenscanner verwenden, steigen beim ClamAV-Projekt die Hosting-Kosten für die Bereitstellung und Auslieferung der Datenbank.

Um diese Kosten im Zaum zu halten, wird das ClamAV-Projekt ältere Signaturen aus der Datenbank werfen. Die Auswahl trifft dabei derzeit das Sicherheitsunternehmen Cisco Talos – Cisco ist gleichzeitig treibende Kraft hinter dem Virenscanner.

Durch das Ausmustern der Signaturen kann der Virenscanner die zugehörige alte Malware nicht mehr erkennen. Das ClamAV-Team verspricht jedoch, dass nur Signaturen aus der Datenbank fliegen, die im Hinblick auf die „aktuelle Sicherheitslandschaft“ entbehrlich sind.

Dazu will das ClamAV-Projekt zusammen mit nicht näher genannten Partnern die aktuelle Sicherheitslage beobachten. In der Datenbank verbleiben nur noch Signaturen, deren zugehörige Malware derzeit tatsächlich zum Einsatz kommt. Sollte plötzlich eine ältere Malware wieder auftauchen, will das ClamAV-Projekt die entsprechende Signatur in die Datenbank zurückholen.

Durch diese Strategie schrumpft die zentrale „main.cvd“-Datenbank von 163 MByte auf nur noch rund 80 MByte. Die verkleinerte Fassung der Signaturdatenbank kommt ab dem 16. Dezember 2025 zum Einsatz. Alle entfernten Signaturen sollen später in einer separaten Datenbank für „Forscher“ und „Spezialfälle“ bereitstehen.

Wie sich die Streichungen auswirken, lässt sich derzeit noch nicht abschätzen – zumal es auch keine Angaben darüber gibt, welche Signaturen konkret entfernt wurden. Im besten Fall erkennt ClamAV weiterhin alle Bedrohungen, im schlechtesten könnte ältere Malware erneut aufleben.

Abschließend werden die ClamAV-Macher zahlreiche Container-Images im DockerHub ausmustern. Übrig bleiben nur noch Images mit den aktuell unterstützten ClamAV-Version. Diese Strategie ist durchaus zu begrüßen, enthalten ältere Versionen mitunter Sicherheitslücken und Fehler.