---

## 1. परिचय

LMD की आर्किटेक्चर, पहचान चरण और समर्थित प्लेटफ़ॉर्म।

Linux Malware Detect (LMD) Linux के लिए एक मैलवेयर स्कैनर है जो GNU GPLv2 लाइसेंस के तहत जारी किया गया है, और इसे साझा होस्टिंग वातावरण में सामने आने वाले खतरों को ध्यान में रखकर डिज़ाइन किया गया है। यह नेटवर्क एज इंट्रूज़न डिटेक्शन सिस्टम से खतरे का डेटा उपयोग करता है ताकि उन मैलवेयर को निकाला जा सके जो वास्तव में हमलों में सक्रिय रूप से उपयोग हो रहे हैं, और पहचान के लिए सिग्नेचर उत्पन्न करता है। इसके अलावा, खतरे का डेटा LMD चेकआउट सुविधा के साथ उपयोगकर्ता सबमिशन और मैलवेयर समुदाय संसाधनों से प्राप्त होता है।

LMD उन मैलवेयर वर्गों पर केंद्रित है जिन्हें पारंपरिक AV उत्पाद अक्सर नहीं पकड़ पाते: PHP शेल, JavaScript इंजेक्टर, base64-एन्कोडेड बैकडोर, IRC बॉट, और अन्य वेब-एप्लिकेशन-लेयर खतरे जो ऑपरेटिंग सिस्टम के आंतरिक भागों के बजाय साझा होस्टिंग उपयोगकर्ता खातों को लक्षित करते हैं।

**पहचान चरण**
- सटीक खतरे की पहचान के लिए MD5 फ़ाइल हैश मिलान
- समानांतर वर्कर्स के साथ नेटिव बैच grep इंजन के माध्यम से HEX पैटर्न मिलान
- मल्टी-पैटर्न बूलियन लॉजिक (AND/OR/threshold), केस-इन्सेंसिटिव मिलान, वाइड (UTF-16LE) मिलान और बाउंडेड गैप वाइल्डकार्ड के साथ कंपाउंड सिग्नेचर (csig) स्कैनिंग
- पूर्ण मॉड्यूल समर्थन और कस्टम नियमों के साथ नेटिव YARA नियम स्कैनिंग
- अस्पष्ट (obfuscated) खतरों (base64, gzinflate) का पता लगाने के लिए सांख्यिकीय स्ट्रिंग-लंबाई विश्लेषण
- LMD-अनुरक्षित ClamAV सिग्नेचर के साथ विस्तारित कवरेज के लिए ClamAV एकीकरण

**स्कैनिंग और निगरानी**
- सभी फ़ाइलें, हाल ही में संशोधित फ़ाइलें, या सूची से फ़ाइलें स्कैन करें
- कर्नेल inotify रीयल-टाइम फ़ाइल निगरानी (create/modify/move इवेंट)
- ModSecurity2 `inspectFile` हुक के माध्यम से HTTP अपलोड स्कैनिंग
- बिना पर्यवेक्षण के बड़े पैमाने पर संचालन के लिए बैकग्राउंड स्कैनिंग
- प्रति-स्कैन include/exclude regex फ़िल्टरिंग

**क्वारंटीन और प्रतिक्रिया**
- शून्य-अनुमति फ़ाइल भंडारण के साथ क्वारंटीन कतार
- स्कैन ID द्वारा बैच क्वारंटीन/पुनर्स्थापना
- मैलवेयर हटाने के लिए सिग्नेचर-विशिष्ट क्लीनर नियम
- पूर्ण फ़ाइल पुनर्स्थापना (सामग्री, स्वामी, अनुमतियाँ, mtime)

**अलर्ट और रिपोर्टिंग**
- एकीकृत rfxn डिज़ाइन (teal ब्रांड, कार्ड प्रविष्टियाँ) के साथ HTML + टेक्स्ट ईमेल अलर्ट
- स्थानीय MTA के बिना वातावरण के लिए SMTP रिले समर्थन (TLS/SSL)
- Slack Block Kit, Telegram MarkdownV2, Discord embed प्रति-प्रविष्टि अलर्ट
- `alert/custom.d/` ओवरराइड के माध्यम से अनुकूलन योग्य अलर्ट टेम्पलेट
- प्रति-फ़ाइल हिट विवरण, रंग-कोडित हिट प्रकारों के साथ स्कैन रिपोर्ट

**इंफ्रास्ट्रक्चर**
- दोहरे-इंजन कवरेज के लिए स्वचालित ClamAV सिग्नेचर लिंकिंग
- 12+ होस्टिंग कंट्रोल पैनल की स्व-पहचान के साथ दैनिक cron
- CPU/IO संसाधन नियंत्रण (nice, ionice, cpulimit)
- सिग्नेचर और संस्करण स्वचालित अपडेट
- systemd सर्विस यूनिट और SysV init स्क्रिप्ट समर्थन

### समर्थित प्लेटफ़ॉर्म

LMD किसी भी Linux वितरण पर bash और मानक GNU उपयोगिताओं के साथ चलता है। परीक्षण किए गए प्लेटफ़ॉर्म:

| प्लेटफ़ॉर्म | इनिट सिस्टम | पैकेज कॉन्फ़िग पथ |
|----------|-------------|---------------------|
| RHEL / Rocky / AlmaLinux 8, 9, 10 | systemd | `/etc/sysconfig/maldet` |
| CentOS 6, 7 | SysV / systemd | `/etc/sysconfig/maldet` |
| Debian 10, 11, 12 | systemd | `/etc/default/maldet` |
| Ubuntu 20.04, 22.04, 24.04 | systemd | `/etc/default/maldet` |
| Gentoo | OpenRC | — |
| Slackware | SysV | — |
| FreeBSD | — | — (आंशिक; कोई inotify नहीं) |

---

## 2. स्थापना

सिस्टम पर LMD की स्थापना, उन्नयन और निष्कासन।

शामिल `install.sh` स्क्रिप्ट सभी स्थापना कार्यों को संभालती है। पिछली स्थापनाओं का स्वचालित रूप से बैकअप लिया जाता है।```bash
./install.sh

### 3.1 सामान्य विकल्प

| Variable | उद्देश्य | डिफ़ॉल्ट |
|----------|---------|---------|
| `autoupdate_signatures` | क्रोन के माध्यम से प्रतिदिन सिग्नेचर स्वतः अपडेट करें | `1` |
| `autoupdate_version` | क्रोन के माध्यम से प्रतिदिन LMD संस्करण स्वतः अपडेट करें | `1` |
| `autoupdate_version_hashed` | LMD निष्पादनयोग्य SHA-256 हैश को अपस्ट्रीम से सत्यापित करें (विफल होने पर MD5 पर वापस) | `1` |
| `sigup_interval` | स्वतंत्र क्रोन जॉब (`/etc/cron.d/maldet-sigup`) के माध्यम से स्वचालित सिग्नेचर अपडेट जाँचों के बीच घंटे; 0 = अक्षम | `6` |
| `cron_prune_days` | क्वारंटीन/सत्र/अस्थायी डेटा बनाए रखने के दिन | `21` |
| `cron_daily_scan` | क्रोन के माध्यम से दैनिक स्वचालित स्कैनिंग सक्षम करें | `1` |
| `scan_days` | दैनिक क्रोन स्कैन में संशोधित फ़ाइलों के लिए पीछे देखने के दिन | `1` |
| `import_config_url` | दूरस्थ कॉन्फ़िगरेशन ओवरराइड डाउनलोड करने के लिए URL | — |
| `import_config_expire` | आयातित कॉन्फ़िग के लिए कैश समाप्ति (सेकंड) | `43200` |
| `sig_import_md5_url` | कस्टम MD5 सिग्नेचर डाउनलोड करने के लिए URL | — |
| `sig_import_hex_url` | कस्टम HEX सिग्नेचर डाउनलोड करने के लिए URL | — |
| `sig_import_yara_url` | कस्टम YARA नियम डाउनलोड करने के लिए URL | — |
| `sig_import_sha256_url` | कस्टम SHA-256 सिग्नेचर डाउनलोड करने के लिए URL | — |
| `sig_import_csig_url` | कस्टम कंपाउंड सिग्नेचर डाउनलोड करने के लिए URL | — |
| `session_legacy_compat` | TSV के साथ-साथ लीगेसी प्लेनटेक्स्ट सत्र फ़ाइलें बनाएँ: `auto` (पुराने प्रारूप के सत्रों का पता लगाएँ), `1` (हमेशा), `0` (केवल TSV) | `auto` |

### 3.2 अलर्टिंग

| Variable | उद्देश्य | डिफ़ॉल्ट |
|----------|---------|---------|
| `email_alert` | स्कैन के बाद ईमेल अलर्ट सक्षम करें | `0` |
| `email_addr` | अलर्ट प्राप्तकर्ता का पता | `[email protected]` |
| `email_subj` | ईमेल विषय पंक्ति टेम्पलेट | `maldet alert from $(hostname)` |
| `email_ignore_clean` | जब सभी हिट साफ़ कर दिए गए हों तो अलर्ट दबाएँ | `1` |
| `email_panel_user_alerts` | हिट पाए जाने पर पैनल उपयोगकर्ता अलर्ट भेजें | `0` |
| `email_panel_from` | पैनल उपयोगकर्ता अलर्ट के लिए From हेडर | `[email protected]` |
| `email_panel_replyto` | पैनल उपयोगकर्ता अलर्ट के लिए Reply-To हेडर | `[email protected]` |
| `email_panel_alert_subj` | पैनल उपयोगकर्ता अलर्ट के लिए विषय पंक्ति | `maldet alert from $(hostname)` |
| `email_format` | ईमेल प्रारूप: `text`, `html`, या `both` | `html` |
| `smtp_relay` | SMTP रिले URL (जैसे, `smtps://smtp.gmail.com:465`) | — |
| `smtp_from` | SMTP रिले डिलीवरी के लिए प्रेषक पता | — |
| `smtp_user` | SMTP प्रमाणीकरण उपयोगकर्ता नाम | — |
| `smtp_pass` | SMTP प्रमाणीकरण पासवर्ड | — |
| `slack_alert` | Slack फ़ाइल अपलोड अलर्ट सक्षम करें | `0` |
| `slack_subj` | Slack अपलोड के लिए फ़ाइल नाम | `maldet alert from $(hostname)` |
| `slack_token` | Slack Bot API टोकन (स्कोप: `files:write`, `files:read`) | — |
| `slack_channels` | चैनल नामों या IDs की अल्पविराम से अलग की गई सूची | `maldetreports` |
| `telegram_alert` | Telegram अलर्ट सक्षम करें | `0` |
| `telegram_bot_token` | Telegram Bot API टोकन | — |
| `telegram_channel_id` | Telegram चैट या समूह ID | — |
| `discord_alert` | Discord वेबहुक अलर्ट सक्षम करें | `0` |
| `discord_webhook_url` | अलर्ट डिलीवरी के लिए Discord वेबहुक URL | — |

### 3.3 स्कैनिंग विकल्प

| Variable | उद्देश्य | डिफ़ॉल्ट |
|----------|---------|---------|
| `scan_hashtype` | चरण 1 के लिए हैश एल्गोरिदम: `auto`, `sha256`, `md5`, `both` | `auto` |
| `scan_max_depth` | find के लिए अधिकतम निर्देशिका गहराई | `15` |
| `scan_min_filesize` | स्कैन करने के लिए न्यूनतम फ़ाइल आकार | `24` bytes |
| `scan_max_filesize` | स्कैन करने के लिए अधिकतम फ़ाइल आकार | `2048k` |
| `scan_hexdepth` | HEX सिग्नेचर मिलान के लिए बाइट गहराई | `262144` |
| `scan_hex_chunk_size` | HEX+CSIG स्कैनिंग में प्रति माइक्रो-बैच फ़ाइलें (सीमा: 1024-20480) | `10240` |
| `scan_csig` | कंपाउंड सिग्नेचर (csig) स्कैनिंग सक्षम करें (केवल नेटिव मोड में) | `1` |
| `scan_workers` | MD5, SHA-256, HEX, और CSIG स्कैन पास के लिए समानांतर वर्कर | `auto` |
| `scan_cpunice` | स्कैन प्रक्रिया के लिए nice प्राथमिकता (-19 से 19) | `19` |
| `scan_ionice` | IO शेड्यूलिंग क्लास प्राथमिकता (0-7) | `6` |
| `scan_cpulimit` | हार्ड CPU सीमा प्रतिशत (0=अक्षम) | `0` |
| `scan_ignore_root` | स्कैन में root-स्वामित्व वाली फ़ाइलें छोड़ें (मॉनिटर मोड में डिफ़ॉल्ट रूप से लागू नहीं; `monitor_scan_owner_filters` देखें) | `1` |
| `scan_ignore_user` | विशिष्ट उपयोगकर्ताओं के स्वामित्व वाली फ़ाइलें छोड़ें | — |
| `scan_ignore_group` | विशिष्ट समूहों के स्वामित्व वाली फ़ाइलें छोड़ें | — |
| `scan_user_access` | गैर-root उपयोगकर्ताओं को स्कैन चलाने की अनुमति दें | `0` |
| `scan_user_access_minuid` | --mkpubpaths उपयोगकर्ता निर्देशिका निर्माण के लिए न्यूनतम UID | `100` |
| `scan_find_timeout` | find फ़ाइल सूची निर्माण के लिए टाइमआउट (0=अक्षम, न्यूनतम 60s, 14400=4hr अनुशंसित) | `0` |
| `scan_export_filelist` | find परिणाम tmp/find_results.last में सहेजें | `0` |
| `scan_tmpdir_paths` | -a/-r स्कैन में शामिल विश्व-लेखन योग्य अस्थायी पथ | `/tmp /var/tmp /dev/shm /var/fcgi_ipc` |
| `string_length_scan` | सांख्यिकीय स्ट्रिंग-लंबाई विश्लेषण सक्षम करें | `0` |
| `string_length` | न्यूनतम संदिग्ध स्ट्रिंग लंबाई | `150000` |
| `scan_progress_log_interval` | पृष्ठभूमि स्कैन के दौरान प्रगति लॉग चेकपॉइंट्स के बीच सेकंड (0=अक्षम) | `60` |
| `scan_meta_cleanup_age` | पूर्ण/समाप्त स्कैन मेटा फ़ाइलों को बनाए रखने के घंटे (0=अक्षम) | `48` |
| `maint_compress_age` | पूर्ण सत्र फ़ाइलों को gzip करने से पहले के दिन (0=अक्षम) | `30` |
| `maint_archive_age` | संपीड़ित सत्रों को मासिक संग्रह में बंडल करने से पहले के दिन (0=अक्षम) | `90` |

### 3.4 YARA स्कैनिंग

नेटिव YARA स्कैनिंग ClamAV से स्वतंत्र रूप से `yara` बाइनरी (या YARA-X से `yr`) को आमंत्रित करती है, जो पूर्ण YARA मॉड्यूल, संकलित नियमों, और कस्टम नियम फ़ाइलों का समर्थन करती है, जिन्हें ClamAV का सीमित YARA उपसमुच्चय संभाल नहीं सकता। जब दोनों उपलब्ध हों, तो `yr` (YARA-X) को प्राथमिकता दी जाती है। जब `auto` पर सेट किया जाता है, तो नेटिव YARA केवल तभी सक्षम होता है जब ClamAV अनुपलब्ध हो और yara/yr बाइनरी पाई जाए, जिससे डुप्लिकेट नियम मूल्यांकन रुकता है।

| Variable | उद्देश्य | डिफ़ॉल्ट |
|----------|---------|---------|
| `scan_yara` | नेटिव YARA स्कैन चरण सक्षम करें: `auto` (बाइनरी का पता लगाएँ, ClamAV फ़ॉलबैक), `0` (अक्षम), `1` (सक्षम) | `auto` |
| `scan_yara_timeout` | सेकंड में टाइमआउट (0=कोई टाइमआउट नहीं) | `300` |
| `scan_yara_scope` | जब ClamAV भी सक्रिय हो तो नियम दायरा: `all` (पूर्ण नेटिव स्कैन) या `custom` (केवल कस्टम नियम नेटिव रूप से, ClamAV rfxn.yara संभालता है) | `custom` |
| `sig_import_yara_url` | सिग्नेचर अपडेट पर कस्टम YARA नियम डाउनलोड करने के लिए URL | — |

**कस्टम YARA नियम** दो स्थानों पर रखे जा सकते हैं, दोनों अपग्रेड के दौरान संरक्षित रहते हैं:
- `sigs/custom.yara` — एकल-फ़ाइल नियम
- `sigs/custom.yara.d/` — `.yar` और `.yara` नियम फ़ाइलों के लिए ड्रॉप-इन निर्देशिका

[YARA Forge](https://yarahq.github.io/) और [Signature Base](https://github.com/Neo23x0/signature-base) जैसे तृतीय-पक्ष नियम सेटों के साथ संगत। संकलित नियम (`yarac` आउटपुट) भी `sigs/compiled.yarc` के माध्यम से समर्थित हैं।

**बैच स्कैनिंग:** YARA 4.0+ और सभी YARA-X संस्करण कुशल बैच फ़ाइल स्कैनिंग के लिए `--scan-list` का उपयोग करते हैं। पुराने YARA संस्करण स्वचालित रूप से प्रति-फ़ाइल स्कैनिंग पर वापस चले जाते हैं।

बिना कॉन्फ़िग संपादित किए रनटाइम पर सक्षम करें:```bash
maldet -co scan_yara=1 -a /home/?/public_html

### 4.1 निकास कोड

| कोड | अर्थ |
|------|---------|
| `0` | सफलता, कोई मैलवेयर हिट नहीं |
| `1` | त्रुटि या सभी स्कैन पथ मौजूद नहीं हैं |
| `2` | मैलवेयर हिट मिले |

**उदाहरण:**```bash
# Scan all files under user web roots
maldet -a /home/?/public_html

# Scan recent files with auto-quarantine and YARA enabled
maldet -co quarantine_hits=1,scan_yara=1 -r /home/?/public_html 2

# Background scan with email alert to specific address
maldet -b -co [email protected] -a /var/www

# View the most recent scan report
maldet -e

# Email a specific report
maldet --mailto [email protected] -e 050910-1534.21135

# Output scan report as JSON (pipe to jq for formatting)
maldet --format json -e 050910-1534.21135

# List all reports as JSON
maldet --format json -e list

# Shorthand JSON output (equivalent to --format json -e)
maldet --json-report 050910-1534.21135

# Restore all quarantined files from a scan
maldet -s 050910-1534.21135

**चेकपॉइंट पुनः आरंभ:** `--stop` स्कैन चरण, हिट गिनती, कॉन्फ़िग विकल्प और प्रति-वर्कर प्रगति दर्ज करने वाली एक चेकपॉइंट फ़ाइल लिखता है। `--continue` चेकपॉइंट को मान्य करता है, यदि हस्ताक्षर बदले गए हों तो चेतावनी देता है, वर्तमान फ़ाइलसिस्टम स्थिति से फ़ाइल सूची पुनर्निर्मित करता है, पिछले हिट्स को पुनर्स्थापित करता है, और बाधित चरण से स्कैनिंग पुनः आरंभ करता है। HEX कार्यकर्ता चंक ग्रैन्युलैरिटी पर पुनः आरंभ होते हैं (प्रति कार्यकर्ता ~30 सेकंड का कार्य नष्ट हो जाता है)।

**इंजन समर्थन:** नेटिव इंजन (HEX/CSIG/हैश कार्यकर्ता) और स्टैंडअलोन `clamscan` सभी जीवनचक्र संचालन का समर्थन करते हैं। डेमॉन-आधारित ClamAV (`clamdscan`/`clamd`) केवल `--kill` का समर्थन करता है — `--pause` और `--stop` को एक त्रुटि संदेश के साथ अस्वीकार कर दिया जाता है क्योंकि डेमॉन I/O स्थिति अपारदर्शी है और अन्य क्लाइंटों के साथ साझा होती है।

---

## 5. उपेक्षा विकल्प

चार उपेक्षा फ़ाइलें नियंत्रित करती हैं कि स्कैनिंग से क्या बाहर रखा जाए:

| फ़ाइल | प्रारूप | उद्देश्य |
|------|--------|---------|
| `ignore_paths` | पंक्ति-पृथक पथ | स्कैन से निर्देशिकाओं या फ़ाइलों को बाहर करें |
| `ignore_file_ext` | पंक्ति-पृथक एक्सटेंशन | फ़ाइल एक्सटेंशन बाहर करें (`.js`, `.css`) |
| `ignore_sigs` | पंक्ति-पृथक पैटर्न | मेल खाने वाले हस्ताक्षरों को छोड़ें (regex, सबस्ट्रिंग मिलान) |
| `ignore_inotify` | पंक्ति-पृथक शाब्दिक पथ | inotify निगरानी ईवेंट्स बाहर करें |

सभी उपेक्षा फ़ाइलें `/usr/local/maldetect/` के अंतर्गत स्थित हैं।

**उदाहरण:**```
# ignore_paths
/home/user/public_html/cgi-bin

# ignore_file_ext
.js
.css

# ignore_sigs
base64.inject.unclassed

# ignore_inotify (user-owned — your additions only)
/home/user/public_html/cache/
backup-

# ignore_inotify.defaults (LMD-managed — refreshed on every upgrade)
# Ships under /usr/local/maldetect/internals/ with curated defaults
# for systemd-private tmpdirs, MariaDB temp tables, Redis, ClamAV, etc.
# Do NOT edit — add your own entries to ignore_inotify instead.

**यह कैसे काम करता है:**

`maldet -m` डिफ़ॉल्ट रूप से फोरग्राउंड में एक सुपरवाइज़र प्रक्रिया चलाता है। सुपरवाइज़र एक `inotifywait` चाइल्ड को प्रबंधित करता है और क्रैश रिकवरी, कॉन्फ़िगरेशन रीलोड और डाइजेस्ट अलर्टिंग को संभालता है। सुपरवाइज़र को डेमॉनाइज़ करने और तुरंत वापस लौटने के लिए `-b` का उपयोग करें।

1. `monitor_init()` मॉनिटर किए गए पथों के अंतर्गत सभी फ़ाइलों पर inotify वॉच सेट करता है
2. फ़ाइल इवेंट्स को क्यू किया जाता है और हर `inotify_sleep` सेकंड में बैच-स्कैन किया जाता है (डिफ़ॉल्ट: 15)
3. कॉन्फ़िगरेशन हर `inotify_reloadtime` सेकंड में रीलोड किया जाता है (डिफ़ॉल्ट: 3600)
4. इष्टतम प्रदर्शन के लिए कर्नेल `max_user_watches` और `max_user_instances` को स्वतः-ट्यून किया जाता है
5. यदि `inotifywait` क्रैश होता है, तो सुपरवाइज़र इसे एक्सपोनेंशियल बैकऑफ़ (2, 4, 8, 16, 32 सेकंड) के साथ पुनः आरंभ करता है; लगातार 3 विफलताओं के बाद सुपरवाइज़र बाहर निकल जाता है

**डाइजेस्ट अलर्ट** `digest_interval` द्वारा निर्धारित अंतराल पर समय-समय पर भेजे जाते हैं (डिफ़ॉल्ट: `24h`)। यदि पिछले डाइजेस्ट के बाद से हिट गिनती `digest_escalate_hits` से अधिक हो जाती है, तो एक तत्काल एस्केलेशन अलर्ट भेजा जाता है (डिफ़ॉल्ट: `0`, अक्षम)।

**अतिरिक्त पथ:** `conf.maldet` को संपादित किए बिना अतिरिक्त पथ देखने के लिए, उन्हें `monitor_paths_extra` द्वारा संदर्भित फ़ाइल में एक प्रति पंक्ति जोड़ें (डिफ़ॉल्ट: `/usr/local/maldetect/monitor_paths.extra`)। प्रत्येक कॉन्फ़िग रीलोड पर इन्हें प्राथमिक वॉच सूची के साथ विलय कर दिया जाता है।

`users` मोड का उपयोग करते समय, केवल `inotify_docroot` (डिफ़ॉल्ट: `public_html,public_ftp`) से मेल खाने वाली उपनिर्देशिकाएँ, साथ ही सिस्टम अस्थायी निर्देशिकाएँ `/tmp`, `/var/tmp`, और `/dev/shm` मॉनिटर की जाती हैं।

**इग्नोर फ़ाइलें (inotify):** मॉनिटर बहिष्करण दो फ़ाइलों को संयोजित करते हैं — उपयोगकर्ता-स्वामित्व वाली `/usr/local/maldetect/ignore_inotify` और LMD-प्रबंधित `/usr/local/maldetect/internals/ignore_inotify.defaults`। दोनों लाइन-विभाजित हैं और `#` टिप्पणियाँ + खाली पंक्तियों का समर्थन करते हैं। उपयोगकर्ता-स्वामित्व वाली `ignore_inotify` डिफ़ॉल्ट रूप से POSIX ERE (विस्तारित रेगेक्स) स्वीकार करती है — एंकर (`^`, `$`) और वाइल्डकार्ड (`.*`, `.+`) काम करते हैं। रेगेक्स मेटाकैरेक्टर वाले शाब्दिक पथ को बाहर करने के लिए, प्रविष्टि को `literal:` से उपसर्गित करें (जैसे `literal:/tmp/app.cache`)। LMD-प्रबंधित `ignore_inotify.defaults` को शाब्दिक सबस्ट्रिंग के रूप में माना जाता है — इसकी क्यूरेटेड प्रविष्टियाँ लोड समय पर स्वतः-एस्केप होती हैं। डिफ़ॉल्ट फ़ाइल हर LMD अपग्रेड पर अधिलेखित हो जाती है; केवल `ignore_inotify` में साइट-विशिष्ट बहिष्करण जोड़ें।

---

## 8. सिग्नेचर सिस्टम

सिग्नेचर प्रकार, नामकरण परंपराएँ, अपडेट और कस्टम नियम फ़ाइलें।

LMD पाँच सिग्नेचर प्रकारों के साथ आता है:

| प्रकार | फ़ाइल | प्रारूप | गिनती |
|------|------|--------|-------|
| MD5 हैश | `sigs/md5v2.dat` | `HASH:SIZE:{MD5}sig.name.N` | ~14,801 |
| SHA-256 हैश | `sigs/sha256v2.dat` | `HASH:SIZE:{SHA256}sig.name.N` | CDN |
| HEX पैटर्न | `sigs/hex.dat` | `HEXSTRING:{HEX}sig.name.N` | ~2,054 |
| कंपाउंड सिग्स | `sigs/csig.dat` | `SUBSIG1\|\|SUBSIG2:signame` | CDN |
| YARA नियम | `sigs/rfxn.yara` | YARA सिंटैक्स | ~783 नियम |
| संकलित YARA | `sigs/compiled.yarc` | `yarac` आउटपुट | वैकल्पिक |

ClamAV-संगत सिग्नेचर भी बनाए रखे जाते हैं:
- `sigs/rfxn.hdb` — ClamAV MD5 प्रारूप
- `sigs/rfxn.ndb` — ClamAV HEX प्रारूप
- `sigs/rfxn.hsb` — ClamAV SHA-256 प्रारूप (ClamAV >= 0.97 आवश्यक)

**सिग्नेचर नामकरण परंपरा:** `{TYPE}category.name.variant_number`

श्रेणियों में शामिल हैं: `bin.` (बाइनरी), `c.` (C भाषा), `exp.` (एक्सप्लॉइट), `php.` (PHP), `js.` (JavaScript), `perl.` (Perl), `html.` (फ़िशिंग), `base64.inject.`, `gzbase64.`

**स्कैन रिपोर्टों में हिट उपसर्ग:**

| उपसर्ग | स्रोत |
|--------|--------|
| `{MD5}` | MD5 हैश मिलान (चरण 1) |
| `{SHA256}` | SHA-256 हैश मिलान (चरण 1) |
| `{HEX}` | HEX पैटर्न मिलान (चरण 2) |
| `{CSIG}` | कंपाउंड सिग्नेचर मिलान (चरण 2.5) |
| `{SA}` | सांख्यिकीय विश्लेषण (स्ट्रिंग लंबाई) |
| `{YARA}` | नेटिव YARA स्कैन (`scan_yara=1`) |
| `{CAV}` | ClamAV इंजन (clamd/clamscan) |

### 8.1 सिग्नेचर अपडेट

सिग्नेचर क्रॉन जॉब के माध्यम से दैनिक या मैन्युअल रूप से अपडेट किए जाते हैं:```bash
maldet -u            # update signatures
maldet -u --force    # force update even if current

**क्वारंटाइन फ़ाइल नामकरण:** `FILENAME.INODE` (जैसे, `config.php.23754`)

गैर-रूट स्कैन (जैसे, ModSecurity2 अपलोड स्कैनिंग) के लिए, क्वारंटाइन डेटा `/usr/local/maldetect/pub/USERNAME/quar/` के अंतर्गत संग्रहीत किया जाता है। गैर-रूट क्वारंटाइन के साथ इंटरैक्ट करने के लिए `-U` फ़्लैग का उपयोग करें:```bash
maldet -U nobody -s 112012-0032.13771

दुर्भावनापूर्ण अपलोड को deny क्रिया के साथ अस्वीकार कर दिया जाता है और ModSecurity ऑडिट लॉग में लॉग किया जाता है। किसी मोड तर्क की आवश्यकता नहीं है — `hookscan.sh` पिछड़ी संगतता के लिए डिफ़ॉल्ट रूप से ModSecurity मोड का उपयोग करता है। ModSecurity v2 और v3 (libmodsecurity) दोनों समान `popen()` अनुबंध का उपयोग करते हैं।

### 10.2 pure-ftpd```bash
# pure-ftpd.conf (or command-line flags):
CallUploadScript yes

# Start the upload-script daemon:
pure-uploadscript -r /usr/local/maldetect/hookscan.sh -B

तीन कोलन-सेपरेटेड फ़ील्ड हैं: कमांड टेम्पलेट, ट्रिगर regex, और नाम-कैप्चर regex। जब मैलवेयर का पता चलता है, Exim कैप्चर किए गए सिग्नेचर नाम का उपयोग करके संदेश को अस्वीकार कर देता है।

### 10.5 जेनेरिक API

कस्टम इंटीग्रेशन, बैच स्कैनिंग और थर्ड-पार्टी उपयोग के लिए:```bash
# Single file scan
hookscan.sh generic /path/to/file
# Exit: 0 = clean, 1 = error, 2 = infected
# Stdout: CLEAN: /path, INFECTED: signame /path, ERROR: reason

# Batch scan from a file list
hookscan.sh generic --list /tmp/filelist.txt

# Batch scan from stdin
find /uploads -newer /tmp/marker -type f | hookscan.sh generic --stdin

परीक्षण अलर्ट वास्तविक रेंडरिंग पाइपलाइन का उपयोग सिंथेटिक डेटा के साथ करते हैं। विषय पंक्ति को `[TEST]` से उपसर्गित किया जाता है। चैनल अलगाव यह सुनिश्चित करता है कि केवल निर्दिष्ट चैनल ही सक्रिय हो।

### 10.8 हुक डाइजेस्ट

हुक डिटेक्शन को आवधिक डाइजेस्ट अलर्ट के माध्यम से संक्षेपित किया जाता है:```bash
# On-demand digest (reads all sources: monitor + hooks)
maldet --digest

# View hook scan activity
maldet --report hooks                    # last 24 hours
maldet --report hooks --last 7d          # last 7 days
maldet --report hooks --mode modsec      # filter by mode

v1.2 JSON स्कीमा के लिए `man maldet`(1) देखें (`-e SCANID` और `-e list` दोनों में समान `{schema_version, scanner, host, reports[]}` संरचना)।

### होस्टिंग पैनल डिटेक्शन

दैनिक क्रॉन 12+ होस्टिंग कंट्रोल पैनलों का स्वतः पता लगाता है और स्कैन पथ समायोजित करता है। पूर्ण पैनल मैट्रिक्स के लिए [6. क्रॉन दैनिक](#6-cron-daily) देखें।

---

## लाइसेंस

LMD का विकास और समर्थन Ryan MacDonald [[email protected]] द्वारा स्वयंसेवी आधार पर किया जाता है।

Linux Malware Detect (LMD) GNU जनरल पब्लिक लाइसेंस (GPL) v2 के अंतर्गत वितरित किया जाता है, जिसमें उपयोग या पुनर्वितरण पर कोई प्रतिबंध नहीं है। कॉपीराइट विवरण और GNU GPL `COPYING.GPL` फ़ाइल में शामिल हैं। GNU GPL के तहत आवश्यकतानुसार व्युत्पन्न कार्यों के लिए श्रेय दिया जाना चाहिए।

---

## सहायता

LMD सोर्स रिपॉज़िटरी यहाँ उपलब्ध है: https://github.com/rfxn/linux-malware-detect

बग, फीचर अनुरोध और सामान्य प्रश्न GitHub issues के रूप में दर्ज किए जा सकते हैं या [email protected] पर भेजे जा सकते हैं।

आधिकारिक प्रोजेक्ट पेज यहाँ है: https://www.rfxn.com/projects/linux-malware-detect/