---

## 1. Einführung

Die Architektur von LMD, die Erkennungsstufen und die unterstützten Plattformen.

Linux Malware Detect (LMD) ist ein unter der GNU GPLv2 veröffentlichter Malware-Scanner für Linux, der speziell auf die Bedrohungen in gemeinsam genutzten Hosting-Umgebungen ausgerichtet ist. Er nutzt Bedrohungsdaten von Intrusion-Detection-Systemen an der Netzwerkgrenze, um Malware zu extrahieren, die aktiv in Angriffen verwendet wird, und generiert daraus Signaturen zur Erkennung. Darüber hinaus stammen Bedrohungsdaten aus Benutzereinreichungen über die LMD-Checkout-Funktion und aus Ressourcen der Malware-Community.

LMD konzentriert sich auf die Malware-Klassen, die herkömmliche Antivirenprodukte häufig übersehen: PHP-Shells, JavaScript-Injektoren, base64-kodierte Backdoors, IRC-Bots und andere Bedrohungen auf Webanwendungsebene, die eher auf Benutzerkonten von Shared-Hosting-Umgebungen abzielen als auf Betriebssystem-Interna.

**Erkennungsstufen**
- MD5-Dateihash-Abgleich zur exakten Identifizierung von Bedrohungen
- HEX-Musterabgleich über eine native Batch-Grep-Engine mit parallelen Workern
- Scan auf zusammengesetzte Signaturen (csig) mit Boolescher Mehrfachmuster-Logik (AND/OR/Schwellenwert), ohne Beachtung der Groß-/Kleinschreibung, Breitzeichen-Abgleich (UTF-16LE) und Wildcards mit begrenzter Lücke
- Nativer YARA-Regelscan mit vollständiger Modulunterstützung und benutzerdefinierten Regeln
- Statistische String-Längen-Analyse zur Erkennung verschleierter Bedrohungen (base64, gzinflate)
- ClamAV-Integration für erweiterte Abdeckung mit von LMD gepflegten ClamAV-Signaturen

**Scannen & Überwachung**
- Scan aller Dateien, kürzlich geänderter Dateien oder Dateien aus einer Liste
- Echtzeit-Dateiüberwachung mit Kernel-inotify (Ereignisse: Erstellen/Ändern/Verschieben)
- HTTP-Upload-Scan über den `inspectFile`-Hook von ModSecurity2
- Hintergrundscanning für unbeaufsichtigte Vorgänge in großem Maßstab

**Quarantäne & Reaktion**
- Quarantäne-Warteschlange mit Dateispeicherung ohne Berechtigungen
- Stapel-Quarantäne/-Wiederherstellung nach Scan-ID
- Signaturspezifische Bereinigungsregeln zur Entfernung von Malware
- Vollständige Dateiwiederherstellung (Inhalt, Eigentümer, Berechtigungen, mtime)

**Benachrichtigung & Berichte**
- HTML- und Text-E-Mail-Benachrichtigungen mit einheitlichem rfxn-Design (türkise Marke, Karteneinträge)
- SMTP-Relay-Unterstützung (TLS/SSL) für Umgebungen ohne lokalen MTA
- Slack Block Kit-, Telegram-MarkdownV2- und Discord-Embed-Benachrichtigungen pro Eintrag
- Anpassbare Benachrichtigungsvorlagen über `alert/custom.d/`-Overrides
- Scan-Berichte mit Trefferdetails pro Datei, farbcodierte Treffertypen

**Infrastruktur**
- Automatische Verknüpfung von ClamAV-Signaturen für Dual-Engine-Abdeckung
- Täglicher Cron-Job mit automatischer Erkennung von über 12 Hosting-Control-Panels
- CPU/IO-Ressourcenkontrolle (nice, ionice, cpulimit)
- Automatische Updates für Signaturen und Version
- Unterstützung für systemd-Service-Unit und SysV-Init-Skript

### Unterstützte Plattformen

LMD läuft auf jeder Linux-Distribution mit bash und standardmäßigen GNU-Werkzeugen. Getestete Plattformen:

| Plattform | Init-System | Paketkonfigurationspfad |
|----------|-------------|---------------------|
| RHEL / Rocky / AlmaLinux 8, 9, 10 | systemd | `/etc/sysconfig/maldet` |
| CentOS 6, 7 | SysV / systemd | `/etc/sysconfig/maldet` |
| Debian 10, 11, 12 | systemd | `/etc/default/maldet` |
| Ubuntu 20.04, 22.04, 24.04 | systemd | `/etc/default/maldet` |
| Gentoo | OpenRC | — |
| Slackware | SysV | — |
| FreeBSD | — | — (teilweise; kein inotify) |

---

## 2. Installation

Installieren, Aktualisieren und Entfernen von LMD auf einem System.

Das enthaltene Skript `install.sh` übernimmt alle Installationsaufgaben. Bereits vorhandene Installationen werden automatisch gesichert.```bash
./install.sh

### 3.1 Allgemeine Optionen

| Variable | Zweck | Standard |
|----------|---------|---------|
| `autoupdate_signatures` | Signaturen täglich per Cron automatisch aktualisieren | `1` |
| `autoupdate_version` | LMD-Version täglich per Cron automatisch aktualisieren | `1` |
| `autoupdate_version_hashed` | SHA-256-Hash der LMD-Ausführungsdatei gegen die Upstream-Version prüfen (Fallback auf MD5) | `1` |
| `sigup_interval` | Stunden zwischen automatischen Signatur-Update-Prüfungen über einen unabhängigen Cron-Job (`/etc/cron.d/maldet-sigup`); 0 = deaktiviert | `6` |
| `cron_prune_days` | Tage, die Quarantäne-/Sitzungs-/Temporärdaten aufbewahrt werden | `21` |
| `cron_daily_scan` | Täglichen automatischen Scan per Cron aktivieren | `1` |
| `scan_days` | Tage, die bei täglichen Cron-Scans für geänderte Dateien berücksichtigt werden | `1` |
| `import_config_url` | URL zum Herunterladen einer Remote-Konfigurations-Override | — |
| `import_config_expire` | Cache-Ablauf für importierte Konfiguration (Sekunden) | `43200` |
| `sig_import_md5_url` | URL zum Herunterladen benutzerdefinierter MD5-Signaturen | — |
| `sig_import_hex_url` | URL zum Herunterladen benutzerdefinierter HEX-Signaturen | — |
| `sig_import_yara_url` | URL zum Herunterladen benutzerdefinierter YARA-Regeln | — |
| `sig_import_sha256_url` | URL zum Herunterladen benutzerdefinierter SHA-256-Signaturen | — |
| `sig_import_csig_url` | URL zum Herunterladen benutzerdefinierter zusammengesetzter Signaturen | — |
| `session_legacy_compat` | Legacy-Klartext-Sitzungsdateien zusätzlich zu TSV erzeugen: `auto` (alte Sitzungsformate erkennen), `1` (immer), `0` (nur TSV) | `auto` |

### 3.2 Benachrichtigungen

| Variable | Zweck | Standard |
|----------|---------|---------|
| `email_alert` | E-Mail-Benachrichtigungen nach Scans aktivieren | `0` |
| `email_addr` | Empfängeradresse für Benachrichtigungen | `[email protected]` |
| `email_subj` | Betreffzeilen-Vorlage der E-Mail | `maldet alert from $(hostname)` |
| `email_ignore_clean` | Benachrichtigungen unterdrücken, wenn alle Treffer bereinigt wurden | `1` |
| `email_panel_user_alerts` | Panel-Benutzerbenachrichtigungen bei Treffererkennung senden | `0` |
| `email_panel_from` | From-Kopfzeile für Panel-Benutzerbenachrichtigungen | `[email protected]` |
| `email_panel_replyto` | Reply-To-Kopfzeile für Panel-Benutzerbenachrichtigungen | `[email protected]` |
| `email_panel_alert_subj` | Betreffzeile für Panel-Benutzerbenachrichtigungen | `maldet alert from $(hostname)` |
| `email_format` | E-Mail-Format: `text`, `html` oder `both` | `html` |
| `smtp_relay` | SMTP-Relay-URL (z. B. `smtps://smtp.gmail.com:465`) | — |
| `smtp_from` | Absenderadresse für die SMTP-Relay-Zustellung | — |
| `smtp_user` | SMTP-Authentifizierungsbenutzername | — |
| `smtp_pass` | SMTP-Authentifizierungspasswort | — |
| `slack_alert` | Slack-Datei-Upload-Benachrichtigungen aktivieren | `0` |
| `slack_subj` | Dateiname für den Slack-Upload | `maldet alert from $(hostname)` |
| `slack_token` | Slack-Bot-API-Token (Berechtigungen: `files:write`, `files:read`) | — |
| `slack_channels` | Kommagetrennte Liste von Kanalnamen oder -IDs | `maldetreports` |
| `telegram_alert` | Telegram-Benachrichtigungen aktivieren | `0` |
| `telegram_bot_token` | Telegram-Bot-API-Token | — |
| `telegram_channel_id` | Telegram-Chat- oder -Gruppen-ID | — |
| `discord_alert` | Discord-Webhook-Benachrichtigungen aktivieren | `0` |
| `discord_webhook_url` | Discord-Webhook-URL für die Zustellung von Benachrichtigungen | — |

### 3.3 Scan-Optionen

| Variable | Zweck | Standard |
|----------|---------|---------|
| `scan_hashtype` | Hash-Algorithmus für Stufe 1: `auto`, `sha256`, `md5`, `both` | `auto` |
| `scan_max_depth` | Maximale Verzeichnistiefe für find | `15` |
| `scan_min_filesize` | Mindestdateigröße für den Scan | `24` Bytes |
| `scan_max_filesize` | Maximale Dateigröße für den Scan | `2048k` |
| `scan_hexdepth` | Byte-Tiefe für den HEX-Signaturabgleich | `262144` |
| `scan_hex_chunk_size` | Dateien pro Mikro-Batch beim HEX+CSIG-Scan (Bereich: 1024-20480) | `10240` |
| `scan_csig` | Scan nach zusammengesetzten Signaturen (csig) aktivieren (nur nativer Modus) | `1` |
| `scan_workers` | Parallele Worker für MD5-, SHA-256-, HEX- und CSIG-Scanläufe | `auto` |
| `scan_cpunice` | Nice-Priorität für den Scanprozess (-19 bis 19) | `19` |
| `scan_ionice` | E/A-Scheduling-Klassen-Priorität (0-7) | `6` |
| `scan_cpulimit` | Harte CPU-Grenze in Prozent (0=deaktiviert) | `0` |
| `scan_ignore_root` | Root-gehörige Dateien beim Scannen überspringen (im Überwachungsmodus standardmäßig nicht angewendet; siehe `monitor_scan_owner_filters`) | `1` |
| `scan_ignore_user` | Dateien überspringen, die bestimmten Benutzern gehören | — |
| `scan_ignore_group` | Dateien überspringen, die bestimmten Gruppen gehören | — |
| `scan_user_access` | Nicht-Root-Benutzern erlauben, Scans auszuführen | `0` |
| `scan_user_access_minuid` | Mindest-UID für die Erstellung von Benutzerverzeichnissen mit `--mkpubpaths` | `100` |
| `scan_find_timeout` | Timeout für die Erzeugung der find-Dateiliste (0=deaktiviert, min. 60s, 14400=4 Std. empfohlen) | `0` |
| `scan_export_filelist` | find-Ergebnisse unter tmp/find_results.last speichern | `0` |
| `scan_tmpdir_paths` | Weltweit beschreibbare Temp-Pfade, die in -a/-r-Scans einbezogen werden | `/tmp /var/tmp /dev/shm /var/fcgi_ipc` |
| `string_length_scan` | Statistische Analyse der String-Länge aktivieren | `0` |
| `string_length` | Mindestlänge verdächtiger Strings | `150000` |
| `scan_progress_log_interval` | Sekunden zwischen Fortschrittsprotokoll-Checkpoints während Hintergrundscans (0=deaktiviert) | `60` |
| `scan_meta_cleanup_age` | Stunden, die abgeschlossene/abgebrochene Scan-Metadateien aufbewahrt werden (0=deaktiviert) | `48` |
| `maint_compress_age` | Tage, bevor abgeschlossene Sitzungsdateien gzip-komprimiert werden (0=deaktiviert) | `30` |
| `maint_archive_age` | Tage, bevor komprimierte Sitzungen in monatliche Archive gebündelt werden (0=deaktiviert) | `90` |

### 3.4 YARA-Scan

Das native YARA-Scannen ruft die Binärdatei `yara` (oder `yr` von YARA-X) unabhängig von ClamAV auf und unterstützt vollständige YARA-Module, kompilierte Regeln und benutzerdefinierte Regelsätze, die die eingeschränkte YARA-Teilmenge von ClamAV nicht verarbeiten kann. Wenn beide verfügbar sind, wird `yr` (YARA-X) bevorzugt. Bei `auto` ist natives YARA nur aktiviert, wenn ClamAV nicht verfügbar ist und eine yara/yr-Binärdatei gefunden wird; so wird eine doppelte Regelauswertung vermieden.

| Variable | Zweck | Standard |
|----------|---------|---------|
| `scan_yara` | Native YARA-Scanstufe aktivieren: `auto` (Binärdatei erkennen, ClamAV-Fallback), `0` (deaktiviert), `1` (aktiviert) | `auto` |
| `scan_yara_timeout` | Timeout in Sekunden (0=kein Timeout) | `300` |
| `scan_yara_scope` | Regelumfang, wenn ClamAV ebenfalls aktiv ist: `all` (voller nativer Scan) oder `custom` (nur benutzerdefinierte Regeln nativ, ClamAV übernimmt rfxn.yara) | `custom` |
| `sig_import_yara_url` | URL zum Herunterladen benutzerdefinierter YARA-Regeln bei Signaturaktualisierung | — |

**Benutzerdefinierte YARA-Regeln** können an zwei Orten abgelegt werden, die beide über Upgrades hinweg erhalten bleiben:
- `sigs/custom.yara` — Regeln in einer einzelnen Datei
- `sigs/custom.yara.d/` — Drop-in-Verzeichnis für `.yar`- und `.yara`-Regeldateien

Kompatibel mit Drittanbieter-Regelsätzen wie [YARA Forge](https://yarahq.github.io/) und [Signature Base](https://github.com/Neo23x0/signature-base). Kompilierte Regeln (`yarac`-Ausgabe) werden ebenfalls über `sigs/compiled.yarc` unterstützt.

**Batch-Scan:** YARA 4.0+ und alle YARA-X-Versionen verwenden `--scan-list` für effizientes Batch-Datei-Scannen. Ältere YARA-Versionen fallen automatisch auf das Scannen einzelner Dateien zurück.

Zur Laufzeit aktivieren, ohne die Konfiguration zu bearbeiten:```bash
maldet -co scan_yara=1 -a /home/?/public_html

### 4.1 Exit-Codes

| Code | Bedeutung |
|------|---------|
| `0` | Erfolg, keine Malware-Treffer |
| `1` | Fehler oder alle Scan-Pfade nicht vorhanden |
| `2` | Malware-Treffer gefunden |

**Beispiele:**```bash
# Scan all files under user web roots
maldet -a /home/?/public_html

# Scan recent files with auto-quarantine and YARA enabled
maldet -co quarantine_hits=1,scan_yara=1 -r /home/?/public_html 2

# Background scan with email alert to specific address
maldet -b -co [email protected] -a /var/www

# View the most recent scan report
maldet -e

# Email a specific report
maldet --mailto [email protected] -e 050910-1534.21135

# Output scan report as JSON (pipe to jq for formatting)
maldet --format json -e 050910-1534.21135

# List all reports as JSON
maldet --format json -e list

# Shorthand JSON output (equivalent to --format json -e)
maldet --json-report 050910-1534.21135

# Restore all quarantined files from a scan
maldet -s 050910-1534.21135

**Checkpoint resume:** `--stop` schreibt eine Checkpoint-Datei, die die Scan-Phase, Trefferanzahl, Konfigurationsoptionen und den Fortschritt pro Worker aufzeichnet. `--continue` validiert den Checkpoint, warnt, wenn sich Signaturen geändert haben, erstellt die Dateiliste aus dem aktuellen Dateisystemzustand neu, stellt frühere Treffer wieder her und setzt das Scannen an der unterbrochenen Phase fort. HEX-Worker setzen auf Chunk-Granularität fort (~30s verlorene Arbeit pro Worker).

**Engine support:** Native Engine (HEX/CSIG/Hash-Worker) und eigenständiges `clamscan` unterstützen alle Lebenszyklus-Operationen. Daemon-basiertes ClamAV (`clamdscan`/`clamd`) unterstützt nur `--kill` — `--pause` und `--stop` werden mit einer Fehlermeldung abgelehnt, da der I/O-Zustand des Daemons undurchsichtig ist und mit anderen Clients geteilt wird.

---

## 5. Ignorieroptionen

Schließt Pfade, Dateitypen und Signaturen von Scans und Überwachung aus.

Vier Ignore-Dateien steuern, was vom Scannen ausgeschlossen wird:

| Datei | Format | Zweck |
|------|--------|---------|
| `ignore_paths` | Zeilengetrennte Pfade | Verzeichnisse oder Dateien von Scans ausschließen |
| `ignore_file_ext` | Zeilengetrennte Erweiterungen | Dateierweiterungen ausschließen (`.js`, `.css`) |
| `ignore_sigs` | Zeilengetrennte Muster | Übereinstimmende Signaturen überspringen (Regex, Teilstring-Match) |
| `ignore_inotify` | Zeilengetrennte literale Pfade | inotify-Überwachungsereignisse ausschließen |

Alle Ignore-Dateien befinden sich unter `/usr/local/maldetect/`.

**Beispiele:**```
# ignore_paths
/home/user/public_html/cgi-bin

# ignore_file_ext
.js
.css

# ignore_sigs
base64.inject.unclassed

# ignore_inotify (user-owned — your additions only)
/home/user/public_html/cache/
backup-

# ignore_inotify.defaults (LMD-managed — refreshed on every upgrade)
# Ships under /usr/local/maldetect/internals/ with curated defaults
# for systemd-private tmpdirs, MariaDB temp tables, Redis, ClamAV, etc.
# Do NOT edit — add your own entries to ignore_inotify instead.

**So funktioniert es:**

`maldet -m` führt standardmäßig einen Supervisor-Prozess im Vordergrund aus. Der Supervisor verwaltet ein `inotifywait`-Kind und übernimmt Crash-Recovery, Konfigurations-Neuladen und Digest-Benachrichtigungen. Verwenden Sie `-b`, um den Supervisor zu daemonisieren und sofort zurückzukehren.

1. `monitor_init()` richtet inotify-Watches auf allen Dateien unter überwachten Pfaden ein
2. Dateiereignisse werden in die Warteschlange gestellt und alle `inotify_sleep` Sekunden (Standard: 15) stapelweise gescannt
3. Die Konfiguration wird alle `inotify_reloadtime` Sekunden neu geladen (Standard: 3600)
4. Die Kernel-Parameter `max_user_watches` und `max_user_instances` werden für optimale Leistung automatisch angepasst
5. Wenn `inotifywait` abstürzt, startet der Supervisor es mit exponentiellem Backoff neu (2, 4, 8, 16, 32 Sekunden); nach 3 aufeinanderfolgenden Fehlern beendet sich der Supervisor

**Digest-Benachrichtigungen** werden regelmäßig in dem Intervall gesendet, das durch `digest_interval` festgelegt ist (Standard: `24h`). Wenn die Anzahl der Treffer seit dem letzten Digest `digest_escalate_hits` überschreitet, wird eine sofortige Eskalationswarnung gesendet (Standard: `0`, deaktiviert).

**Zusätzliche Pfade:** Um weitere Pfade ohne Bearbeitung von `conf.maldet` zu überwachen, fügen Sie sie zeilenweise der Datei hinzu, auf die `monitor_paths_extra` verweist (Standard: `/usr/local/maldetect/monitor_paths.extra`). Diese werden bei jedem Neuladen der Konfiguration mit der primären Überwachungsliste zusammengeführt.

Im Modus `users` werden nur Unterverzeichnisse überwacht, die `inotify_docroot` entsprechen (Standard: `public_html,public_ftp`), sowie die System-Temp-Verzeichnisse `/tmp`, `/var/tmp` und `/dev/shm`.

**Ignorierdateien (inotify):** Die Überwachungsausschlüsse vereinen zwei Dateien – die benutzereigene `/usr/local/maldetect/ignore_inotify` und die von LMD verwaltete `/usr/local/maldetect/internals/ignore_inotify.defaults`. Beide sind zeilengetrennt und unterstützen `#`-Kommentare sowie Leerzeilen. Die benutzereigene `ignore_inotify` akzeptiert standardmäßig POSIX ERE (erweiterter regulärer Ausdruck) – Anker (`^`, `$`) und Platzhalter (`.*`, `.+`) funktionieren. Um einen Literalpfad auszuschließen, der Regex-Metazeichen enthält, stellen Sie dem Eintrag `literal:` voran (z. B. `literal:/tmp/app.cache`). Die von LMD verwaltete `ignore_inotify.defaults` wird als literale Teilzeichenfolgen behandelt – ihre kuratierten Einträge werden beim Laden automatisch maskiert. Die Defaults-Datei wird bei jedem LMD-Upgrade überschrieben; fügen Sie standortspezifische Ausschlüsse nur zu `ignore_inotify` hinzu.

---

## 8. Signatursystem

Signaturentypen, Namenskonventionen, Aktualisierungen und benutzerdefinierte Regeldateien.

LMD wird mit fünf Signaturentypen ausgeliefert:

| Typ | Datei | Format | Anzahl |
|------|------|--------|-------|
| MD5-Hashes | `sigs/md5v2.dat` | `HASH:SIZE:{MD5}sig.name.N` | ~14,801 |
| SHA-256-Hashes | `sigs/sha256v2.dat` | `HASH:SIZE:{SHA256}sig.name.N` | CDN |
| HEX-Muster | `sigs/hex.dat` | `HEXSTRING:{HEX}sig.name.N` | ~2,054 |
| Verbundsignaturen | `sigs/csig.dat` | `SUBSIG1\|\|SUBSIG2:signame` | CDN |
| YARA-Regeln | `sigs/rfxn.yara` | YARA-Syntax | ~783 Regeln |
| Kompilierte YARA | `sigs/compiled.yarc` | `yarac`-Ausgabe | optional |

ClamAV-kompatible Signaturen werden ebenfalls gepflegt:
- `sigs/rfxn.hdb` — ClamAV-MD5-Format
- `sigs/rfxn.ndb` — ClamAV-HEX-Format
- `sigs/rfxn.hsb` — ClamAV-SHA-256-Format (erfordert ClamAV >= 0.97)

**Namenskonvention für Signaturen:** `{TYPE}category.name.variant_number`

Zu den Kategorien gehören: `bin.` (Binär), `c.` (C-Sprache), `exp.` (Exploit), `php.` (PHP), `js.` (JavaScript), `perl.` (Perl), `html.` (Phishing), `base64.inject.`, `gzbase64.`

**Treffer-Präfixe in Scan-Berichten:**

| Präfix | Quelle |
|--------|--------|
| `{MD5}` | MD5-Hash-Übereinstimmung (Stufe 1) |
| `{SHA256}` | SHA-256-Hash-Übereinstimmung (Stufe 1) |
| `{HEX}` | HEX-Muster-Übereinstimmung (Stufe 2) |
| `{CSIG}` | Übereinstimmung mit Verbundsignatur (Stufe 2.5) |
| `{SA}` | Statistische Analyse (Zeichenfolgenlänge) |
| `{YARA}` | Nativer YARA-Scan (`scan_yara=1`) |
| `{CAV}` | ClamAV-Engine (clamd/clamscan) |

### 8.1 Signaturaktualisierungen

Signaturen werden täglich über den Cron-Job oder manuell aktualisiert:```bash
maldet -u            # update signatures
maldet -u --force    # force update even if current

**Benennung der Quarantänedateien:** `FILENAME.INODE` (z. B. `config.php.23754`)

Bei Nicht-Root-Scans (z. B. ModSecurity2-Upload-Scans) werden die Quarantänedaten unter `/usr/local/maldetect/pub/USERNAME/quar/` gespeichert. Verwenden Sie das Flag `-U`, um mit der Nicht-Root-Quarantäne zu interagieren:```bash
maldet -U nobody -s 112012-0032.13771

Malicious uploads are rejected with a deny action and logged to the ModSecurity audit log. No mode argument is needed — `hookscan.sh` defaults to ModSecurity mode for backward compatibility. Both ModSecurity v2 and v3 (libmodsecurity) use the same `popen()` contract.

### 10.2 pure-ftpd```bash
# pure-ftpd.conf (or command-line flags):
CallUploadScript yes

# Start the upload-script daemon:
pure-uploadscript -r /usr/local/maldetect/hookscan.sh -B

Die drei durch Doppelpunkte getrennten Felder sind: Befehlsvorlage, Trigger-Regex und Name-Erfassungs-Regex. Wenn Malware erkannt wird, lehnt Exim die Nachricht unter Verwendung des erfassten Signaturnamens ab.

### 10.5 Generische API

Für benutzerdefinierte Integrationen, Stapelscans und die Verwendung durch Dritte:```bash
# Single file scan
hookscan.sh generic /path/to/file
# Exit: 0 = clean, 1 = error, 2 = infected
# Stdout: CLEAN: /path, INFECTED: signame /path, ERROR: reason

# Batch scan from a file list
hookscan.sh generic --list /tmp/filelist.txt

# Batch scan from stdin
find /uploads -newer /tmp/marker -type f | hookscan.sh generic --stdin

Test-Alerts verwenden die echte Rendering-Pipeline mit synthetischen Daten. Die Betreffzeile wird um das Präfix `[TEST]` ergänzt. Die Kanalisolierung stellt sicher, dass nur der angegebene Kanal ausgelöst wird.

### 10.8 Hook Digest

Hook-Erkennungen werden über periodische Digest-Benachrichtigungen zusammengefasst:```bash
# On-demand digest (reads all sources: monitor + hooks)
maldet --digest

# View hook scan activity
maldet --report hooks                    # last 24 hours
maldet --report hooks --last 7d          # last 7 days
maldet --report hooks --mode modsec      # filter by mode

Siehe `man maldet`(1) für das v1.2-JSON-Schema (einheitliche `{schema_version, scanner, host, reports[]}`-Struktur sowohl bei `-e SCANID` als auch bei `-e list`).

### Erkennung von Hosting-Panels

Der tägliche Cron-Job erkennt automatisch 12+ Hosting-Control-Panels und passt die Scan-Pfade an. Siehe [6. Cron Daily](#6-cron-daily) für die vollständige Panel-Matrix.

---

## Lizenz

LMD wird auf ehrenamtlicher Basis von Ryan MacDonald [[email protected]] entwickelt und unterstützt.

Linux Malware Detect (LMD) wird unter der GNU General Public License (GPL) v2
ohne Einschränkungen hinsichtlich Nutzung oder Weiterverbreitung verbreitet. Der Urheberrechtshinweis und die GNU GPL
sind in der Datei `COPYING.GPL` enthalten. Bei abgeleiteten Werken muss eine Quellenangabe erfolgen, wie
unter der GNU GPL gefordert.

---

## Support

Das LMD-Quellrepository befindet sich unter: https://github.com/rfxn/linux-malware-detect

Fehler, Funktionswünsche und allgemeine Fragen können als GitHub-Issues eingereicht oder an [email protected] gesendet werden.

Die offizielle Projektseite befindet sich unter: https://www.rfxn.com/projects/linux-malware-detect/