ClamAV : l'antivirus open source multiplateforme et gratuit

Aujourd'hui, on va parler d'un vétéran de la sécurité informatique, un outil qui tourne discrètement sur des millions de serveurs à travers le monde sans jamais faire de bruit : ClamAV. Si vous administrez un serveur de messagerie, un NAS ou une simple machine Linux, vous l'avez probablement déjà croisé sans le savoir. Et si ce n'est pas le cas, installez-vous confortablement, car vous allez découvrir pourquoi cet antivirus open source est devenu, au fil des années, un incontournable de la cybersécurité.

ClamAV, l'antivirus open source maintenu par Cisco Talos - Crédit photo : © Github.com

ClamAV, c'est quoi exactement ?

ClamAV (pour « Clam AntiVirus ») est un moteur antivirus open source publié sous licence GPLv2. Le projet a vu le jour en 2001 sous l'impulsion de Tomasz Kojm, avant d'être racheté par Sourcefire en 2007, société elle-même absorbée par Cisco en 2013. Depuis, c'est l'équipe Cisco Talos, l'une des plus importantes équipes de renseignement sur les menaces au monde, qui assure son développement. Autant vous dire que le bébé est entre de bonnes mains. Et le projet est loin d'être à l'abandon : la version 1.5.2 est sortie en mars 2026, soit un quart de siècle après les débuts de l'aventure. Peu de logiciels peuvent se vanter d'une telle longévité.

Concrètement, ClamAV détecte les virus, chevaux de Troie, ransomwares, malwares mobiles, macros Office piégées et autres joyeusetés qui circulent sur nos réseaux. Sa base de signatures officielle recense plusieurs millions de menaces, elle est signée numériquement pour éviter toute falsification, et elle est mise à jour plusieurs fois par jour. Le tout gratuitement, sans licence à renouveler ni pop-up publicitaire pour vous vendre un VPN.

Sous le capot : une vraie boîte à outils

Contrairement à ce que l'on pourrait croire, ClamAV n'est pas un simple exécutable, mais une collection de briques complémentaires qui couvrent à peu près tous les besoins.

clamscan, le scanner à la demande

C'est l'outil en ligne de commande que vous lancez quand vous voulez analyser un fichier, un dossier ou un disque complet. Simple, direct, efficace : vous pointez, il analyse, il vous fait son rapport.

clamd et clamdscan, le duo taillé pour les serveurs

clamd est un démon multi-threadé qui garde le moteur et les signatures chargés en mémoire. Résultat : les analyses sont quasi instantanées puisqu'il n'y a plus besoin de recharger la base à chaque requête. C'est cette architecture qui permet à ClamAV de scanner des flux entiers de messagerie sans mettre votre serveur à genoux.

freshclam, le gardien des mises à jour

Un antivirus avec des signatures datées de trois semaines, c'est à peu près aussi utile qu'un parapluie troué. freshclam se charge donc de télécharger automatiquement les dernières bases de signatures, à l'heure qui vous convient, sans intervention de votre part.

clamonacc, la protection en temps réel

Sous Linux, ce composant surveille les accès aux fichiers et peut analyser, voire bloquer, un fichier malveillant au moment même où un processus tente de l'ouvrir. De quoi transformer ClamAV en véritable protection « on-access », comme sur les antivirus de bureau classiques.

Plus de 40 formats de fichiers passés au crible

Là où ClamAV impressionne, c'est dans sa capacité à décortiquer les fichiers. Le moteur sait ouvrir et inspecter plus d'une quarantaine de formats : les archives (ZIP, RAR, 7Z, TAR et compagnie), les exécutables Windows 32 et 64 bits, les binaires ELF et Mach-O, les documents Office et leurs macros, les PDF, le HTML, ainsi que la plupart des formats de courrier électronique. Les malwares qui pensent se planquer dans une archive compressée dans une archive, elle-même glissée dans une pièce jointe, se font démasquer sans sourciller. Et pour les petits malins qui fabriquent des « bombes d'archive » destinées à saturer les scanners, ClamAV embarque des protections spécifiques qui coupent court à la plaisanterie. Le moteur dispose même d'un système de signatures en bytecode, qui permet d'écrire de véritables routines de détection pour les menaces les plus complexes.

Pourquoi ClamAV vaut le détour

D'abord, il y a l'argument imparable : c'est gratuit et open source. Le code est public, auditable par n'importe qui, et vous ne dépendez pas du bon vouloir commercial d'un éditeur. Pour une entreprise qui doit déployer une analyse antivirale sur des dizaines de serveurs, la différence de budget se chiffre vite en milliers d'euros.

Ensuite, ClamAV tourne partout : Linux (Debian, Ubuntu, Fedora, Alpine et autres), FreeBSD, macOS et Windows 10 et 11, aussi bien sur x86_64 que sur ARM. Des images Docker officielles sont également disponibles, ce qui simplifie grandement les déploiements modernes.

Mais son terrain de jeu favori, historiquement, c'est la passerelle de messagerie. Couplé à Postfix ou Exim via Amavis ou un milter, ClamAV analyse chaque courriel entrant et sortant, et intercepte les pièces jointes vérolées avant qu'elles n'atteignent la boîte de réception de vos utilisateurs. C'est LE cas d'usage qui a fait sa réputation, et des millions de serveurs de messagerie dans le monde reposent dessus.

Les développeurs ne sont pas oubliés : le moteur est disponible sous forme de bibliothèque partagée, libclamav, que vous pouvez intégrer directement dans vos propres applications pour leur ajouter des capacités d'analyse antivirale.

Cerise sur le gâteau : ClamAV accepte des bases de signatures additionnelles fournies par des tiers, comme celles que nous éditons chez SecuriteInfo.com, ce qui permet d'augmenter très sensiblement son taux de détection.

Comment démarrer avec ClamAV ?

Sur une distribution Linux de type Debian ou Ubuntu, trois commandes suffisent pour installer l'outil, mettre à jour les signatures et lancer une première analyse :


sudo apt install clamav clamav-daemon

sudo freshclam

clamscan -r --infected /home

La première commande installe le scanner et le démon, la deuxième récupère les dernières signatures, et la troisième analyse récursivement le répertoire /home en n'affichant que les fichiers infectés. Sous Windows et macOS, des installeurs officiels sont proposés sur le site du projet, et les adeptes de la conteneurisation trouveront leur bonheur sur le Docker Hub officiel.

Le mot de la fin

Soyons honnêtes deux minutes : ClamAV n'est pas une suite de sécurité complète avec EDR, pare-feu et analyse comportementale intégrés. C'est un moteur de détection de malwares, rien de plus, rien de moins. Mais dans son domaine, il excelle : fiable, léger, scriptable, documenté, maintenu par une équipe de classe mondiale et adopté par une communauté immense. Pour protéger un serveur de fichiers, filtrer une passerelle de messagerie, vérifier des fichiers uploadés sur un site web ou ajouter une couche d'analyse à vos propres outils, il n'a tout simplement pas d'équivalent dans le monde du libre. Alors si ce n'est pas déjà fait, donnez-lui sa chance : votre infrastructure vous dira merci, et votre budget aussi.