Un antivirus Linux en temps réel n’est généralement pas indispensable sur un poste de bureau standard correctement mis à jour. L’intérêt réel d’un scanner se limite à trois cas : vérifier des fichiers destinés à des machines Windows, protéger un serveur de mail ou de partage, et contrôler ponctuellement qu’aucun rootkit ne s’est installé. ClamAV couvre les deux premiers besoins, tandis que rkhunter et chkrootkit concernent le troisième. Pour un audit manuel complémentaire des fichiers à risque (bits SUID, SGID, fichiers sans propriétaire), consultez notre guide sur la commande find sous Linux.
L’essentiel — Vérifié le 23 juillet 2026
- ClamAV (versions amont 1.5.3 et 1.4.5 LTS, juillet 2026) : moteur antivirus open source maintenu par Cisco Talos. La version réellement installée dépend de votre distribution ; ClamAV sert surtout à analyser des fichiers échangés avec Windows et les flux de serveurs.
- rkhunter (1.4.6, dernière version amont publiée en février 2018) : détecteur de rootkits. Aucune nouvelle version amont depuis 2018 ; certaines distributions appliquent encore des correctifs à leur paquet. À utiliser comme couche complémentaire, pas comme garantie.
- chkrootkit (0.59, janvier 2026) : second détecteur de rootkits, activement mis à jour. À croiser avec rkhunter.
- Distributions couvertes : ClamAV couvre Debian et Ubuntu, Fedora, RHEL et dérivées via EPEL, Arch Linux et openSUSE Tumbleweed. rkhunter est disponible sous Debian et Ubuntu, Fedora et EPEL, ainsi qu’Arch Linux. chkrootkit est disponible sous Debian, Ubuntu et Fedora. openSUSE Leap 16.0 ne fournit actuellement pas ces outils dans ses dépôts officiels standards.
- Aucun de ces outils ne remplace les mises à jour du système et une bonne configuration.
Faut-il vraiment installer un antivirus Linux ?
Linux n’est pas immunisé contre les logiciels malveillants. Les dépôts signés, la séparation des privilèges et les permissions limitent toutefois l’exposition lorsqu’ils sont correctement utilisés. Un poste Linux à jour, configuré avec soin et alimenté par les dépôts officiels réduit ainsi de nombreux risques, sans devenir invulnérable.
Trois situations justifient malgré tout l’utilisation d’un antivirus Linux ou d’un détecteur de rootkits.
D’abord, quand votre machine manipule des fichiers destinés à Windows : pièces jointes, clés USB, partages réseau. Un fichier inoffensif pour Linux peut contenir un malware qui frappera un poste Windows. ClamAV sert précisément à filtrer ces fichiers.
Ensuite, sur un serveur de mail, de fichiers ou un hébergement mutualisé, où ClamAV analyse les flux entrants avant qu’ils n’atteignent les utilisateurs.
Enfin, après une suspicion de compromission : comportement anormal, connexions inconnues, processus douteux. C’est le rôle des détecteurs de rootkits, qui cherchent des traces de logiciels conçus pour se cacher.
En dehors de ces cas, installer un antivirus Linux en surveillance permanente sur un poste de bureau apporte peu et consomme des ressources pour un bénéfice limité.
ClamAV : l’antivirus Linux pour scanner les fichiers
ClamAV est l’antivirus Linux open source de référence. Il fonctionne à la demande (clamscan) ou en service résident (clamd), et s’appuie sur une base de signatures mise à jour par freshclam.
Installer ClamAV
Les commandes ci-dessous installent le moteur et, si nécessaire, le démon. Procédure vérifiée le 23 juillet 2026. ClamAV 1.5.3 est la version amont actuelle et 1.4.5 la branche LTS corrigée, mais la version disponible varie selon la distribution. Sous Debian 12 et Debian 13, les dépôts stables fournissent encore ClamAV 1.4.3 à cette date et le suivi de sécurité Debian signale plusieurs vulnérabilités de juillet 2026 comme non corrigées. Mettez le système à jour et vérifiez la version installée avec apt policy clamav. openSUSE Leap 16.0 ne propose actuellement aucun paquet ClamAV officiel dans ses dépôts standards ; n’ajoutez pas un dépôt communautaire non vérifié uniquement pour installer un antivirus.
# Debian, Ubuntu, Linux Mint
sudo apt install clamav clamav-daemon
# Fedora
sudo dnf install clamav clamav-freshclam clamd
# RHEL, Rocky Linux, AlmaLinux (dépôt EPEL)
sudo dnf install clamav clamav-freshclam clamd
# Arch Linux, Manjaro
sudo pacman -S clamav
# openSUSE Tumbleweed
sudo zypper install clamavLe paquet clamav fournit les outils en ligne de commande (clamscan, freshclam). Le démon (clamav-daemon, clamd) n’est nécessaire que pour le scan résident ou l’analyse à haute fréquence sur un serveur ; pour un usage ponctuel, il est facultatif.
Si vous préférez une interface graphique, installez le paquet clamtk : c’est un frontal léger pour ClamAV, pratique pour scanner un dossier en quelques clics sans passer par le terminal. ClamTk est fourni dans les dépôts de Debian, Ubuntu, Fedora, Arch Linux et openSUSE Tumbleweed, mais pas dans les dépôts officiels d’openSUSE Leap 16.0. Vérifiez sa disponibilité avec le gestionnaire de paquets de votre distribution avant l’installation.
Mettre à jour la base de signatures
Un antivirus ne vaut que par la fraîcheur de sa base. Avant tout premier scan, lancez une mise à jour manuelle :
sudo freshclamSi un service freshclam tourne déjà en arrière-plan, il peut verrouiller la base et provoquer l’erreur Failed to lock the log file. Dans ce cas, arrêtez-le le temps de la mise à jour manuelle, ou laissez simplement le service faire son travail. Le nom du service varie selon la distribution :
| Distribution | Service de mise à jour | Démon de scan |
|---|---|---|
| Debian / Ubuntu | clamav-freshclam |
clamav-daemon |
| Fedora / RHEL | clamav-freshclam |
clamd@scan |
| Arch / Manjaro | clamav-freshclam |
clamav-daemon |
| openSUSE | freshclam |
clamd |
Pour activer la mise à jour automatique, utilisez le service adapté à votre distribution :
# Debian, Ubuntu, Fedora et Arch Linux
sudo systemctl enable --now clamav-freshclam
# openSUSE Tumbleweed
sudo systemctl enable --now freshclam.timerLancer un scan
Deux commandes existent. clamscan charge la base à chaque exécution : simple, mais lent sur de gros volumes. clamdscan interroge le démon clamd déjà lancé : bien plus rapide, mais il faut que le démon tourne.
Pour un scan ponctuel d’un dossier, clamscan suffit :
# Scanner le dossier courant, sous-dossiers compris,
# et n'afficher que les fichiers infectés
clamscan --recursive --infected .La sortie se termine par un résumé de ce type :
----------- SCAN SUMMARY -----------
Known viruses: 8654321
Scanned files: 1240
Infected files: 0Pour scanner l’ensemble du système, comptez un temps long. ClamAV n’a pas de « scan rapide » : c’est une boîte à outils de détection, pas une suite de sécurité complète.
# Scan complet du système sans traverser les autres systèmes de fichiers
# Exclut /proc, /sys, /dev et /run (Ctrl-C pour interrompre)
sudo clamscan --recursive --infected --cross-fs=no --exclude-dir='^/(proc|sys|dev|run)(/|$)' /L’option --cross-fs=no empêche ClamAV de parcourir les autres systèmes de fichiers montés. Exclure /proc, /sys, /dev et /run évite aussi les erreurs liées aux pseudo-systèmes de fichiers, qui ne contiennent pas de données ordinaires à analyser.
Que faire des fichiers infectés
Par défaut, ClamAV ne fait que signaler. Vous pouvez lui demander de déplacer les fichiers détectés en quarantaine :
# Déplacer les fichiers infectés dans un dossier de quarantaine
install -d -m 700 "$HOME/quarantaine"
clamscan --recursive --infected --exclude-dir="^${HOME}/quarantaine(/|$)" --move="$HOME/quarantaine" .Avertissement — l’option
--removeest dangereuse. ClamAV propose--removepour supprimer automatiquement tout fichier détecté. La documentation officielle déconseille explicitement cet usage : les faux positifs existent, et vous ne voulez pas qu’un fichier légitime soit effacé sans retour possible. Préférez toujours--moveou--copy, puis inspectez la quarantaine à la main. Utilisez un dossier de quarantaine privé, non accessible en écriture aux autres utilisateurs, et maintenez ClamAV à jour.
rkhunter : détecter les rootkits (avec ses limites)
Un rootkit est un logiciel malveillant conçu pour se dissimuler et maintenir un accès caché à la machine. rkhunter (Rootkit Hunter) cherche ses traces : fichiers système modifiés, permissions anormales, fichiers cachés, chaînes suspectes.
Avertissement — outil daté. La dernière version stable de rkhunter, la 1.4.6, remonte à février 2018. Le projet amont n’a publié aucune nouvelle version depuis 2018. Certaines distributions, notamment Fedora et EPEL, continuent toutefois d’appliquer des correctifs à leurs paquets. Il reste utile comme couche de vérification, mais ne le considérez pas comme une garantie à jour. Croisez toujours ses résultats avec chkrootkit, plus récent. Sur RHEL, Rocky Linux et AlmaLinux, rkhunter est disponible après activation du dépôt EPEL et s’installe avec
sudo dnf install rkhunter.
Installer et initialiser rkhunter
# Debian, Ubuntu, Linux Mint
sudo apt install rkhunter
# Fedora
sudo dnf install rkhunter
# Arch Linux
sudo pacman -S rkhunterSur Arch Linux, rkhunter est disponible dans le dépôt officiel Extra et s’installe avec sudo pacman -S rkhunter. Sur openSUSE Tumbleweed et Leap 16.0, rkhunter et chkrootkit ne sont pas proposés dans les dépôts officiels standards. Le projet security d’OBS fournit des paquets expérimentaux. Vérifiez leur origine et leur maintenance avant de les utiliser ; la commande zypper search rkhunter chkrootkit indique seulement leur présence éventuelle et ne garantit pas qu’ils conviennent à une machine de production.
Après l’installation, créez d’abord une base de référence sur un système que vous considérez sain. La commande --propupd crée la base de référence des propriétés de vos fichiers système ; --update tente de récupérer les fichiers de données si le paquet l’autorise. Debian et Ubuntu désactivent volontairement cette mise à jour réseau avec WEB_CMD=/bin/false : conservez ce réglage et recevez les correctifs par les mises à jour de paquets de la distribution.
# Créer la base de référence sur un système que vous savez sain
sudo rkhunter --propupd
# Seulement si le paquet autorise les mises à jour réseau
sudo rkhunter --updateLancez --propupd uniquement sur un système que vous considérez propre : rkhunter compare ensuite chaque scan à cette photographie de départ. Après une mise à jour légitime du système, examinez les changements signalés avant de relancer rkhunter --propupd, afin de ne pas enregistrer comme saine une modification non vérifiée.
Lancer un contrôle
# Contrôle complet, avec pause entre chaque groupe de tests
sudo rkhunter --checkLe rapport signale chaque test en OK, Warning ou Not found. Les avertissements ne signifient pas systématiquement une infection : rkhunter produit beaucoup de faux positifs, notamment après une mise à jour du système qui modifie légitimement des binaires. Lisez chaque Warning avant de conclure, et consultez le journal détaillé dans /var/log/rkhunter.log.
chkrootkit : l’alternative complémentaire
Aucun détecteur de rootkits ne garantit à lui seul qu’un système est sain. Comparer les résultats de plusieurs outils peut faire apparaître des signaux différents, mais chaque alerte doit être vérifiée avant de conclure à une infection. chkrootkit joue ce rôle de second avis, et son développement est actif : la version amont 0.59, publiée en janvier 2026, ajoute la détection de la porte dérobée XZ (CVE-2024-3094) et du bootkit UEFI Bootkitty.
# Debian, Ubuntu, Linux Mint
sudo apt install chkrootkit
# Fedora
sudo dnf install chkrootkit
# Lancer l'analyse
sudo chkrootkitSur RHEL, Rocky Linux et AlmaLinux, chkrootkit n’est actuellement pas fourni par EPEL : n’utilisez pas la commande dnf sans avoir identifié un dépôt de confiance. La sortie liste chaque test avec un verdict not infected, not found ou INFECTED. Là encore, un résultat positif isolé mérite vérification avant panique : recoupez avec rkhunter et avec l’état réel du système. En cas de suspicion sérieuse, redémarrez depuis un support de secours fiable et analysez le disque hors ligne : un rootkit actif peut modifier les commandes et masquer ses traces sur le système compromis.
Aller plus loin : l’audit avec Lynis
Scanner des virus et chercher des rootkits ne sécurise pas une machine ; cela ne fait que détecter une compromission déjà survenue. Pour renforcer un système avant l’incident, l’outil de référence est Lynis, développé par CISOfy et activement maintenu. Il réalise un audit complet de la configuration — services, permissions, durcissement noyau, SSH — et propose des recommandations concrètes. Lynis est disponible dans les dépôts de Debian, Ubuntu, Fedora, EPEL, Arch Linux et openSUSE Tumbleweed. openSUSE Leap 16.0 ne propose actuellement aucun paquet Lynis officiel dans ses dépôts standards.
# Installer Lynis puis lancer un audit système complet
# Debian, Ubuntu, Linux Mint
sudo apt install lynis
# Fedora
sudo dnf install lynis
# RHEL, Rocky Linux, AlmaLinux (EPEL activé)
sudo dnf install lynis
# Arch Linux
sudo pacman -S lynis
# openSUSE Tumbleweed
sudo zypper install lynis
# Audit
sudo lynis audit systemLynis est complémentaire des scanners : il agit sur la prévention là où ClamAV et rkhunter agissent sur la détection.
Tableau récapitulatif
| Outil | Rôle | Maintenu | Quand l’utiliser |
|---|---|---|---|
| ClamAV | Antivirus (fichiers, malwares) | Oui (2026) | Fichiers Windows, serveurs mail/partage |
| rkhunter | Détection de rootkits | Amont inactif depuis 2018 ; paquet parfois corrigé | Contrôle ponctuel, en complément |
| chkrootkit | Détection de rootkits | Oui (0.59 en 2026) | Second avis, croisé avec rkhunter |
| Lynis | Audit de configuration | Oui | Durcir le système en prévention |
Ce qu’il ne faut pas faire
Croire qu’un antivirus Linux remplace les mises à jour. La première protection sous Linux reste un système à jour, avec des paquets issus des dépôts officiels. Aucun scanner ne compense un système négligé.
Lancer clamscan --remove à l’aveugle. Un faux positif effacé est perdu. Utilisez la quarantaine et inspectez avant de supprimer.
Se fier à rkhunter seul. Sa dernière version amont date de 2018. Utilisez-le seulement comme signal complémentaire et confrontez ses résultats à chkrootkit, aux journaux et à l’état réel du système.
Ajouter des dépôts non officiels « pour la sécurité ». Multiplier les sources de paquets augmente la surface d’attaque au lieu de la réduire. Restez sur les dépôts de votre distribution.
Questions fréquentes
Linux a-t-il besoin d’un antivirus ?
Pas sur un poste de bureau standard à jour. Un antivirus devient utile si votre machine échange des fichiers avec des postes Windows, agit comme serveur de mail ou de partage, ou si vous soupçonnez une compromission.
ClamAV détecte-t-il les virus Linux ou seulement Windows ?
ClamAV peut détecter des fichiers malveillants visant Linux comme d’autres systèmes, notamment de nombreuses menaces Windows. Sur une machine Linux, il sert souvent à éviter de transmettre un fichier infecté à un poste Windows. Son efficacité dépend toutefois des signatures, des heuristiques et de leur mise à jour.
rkhunter est-il toujours fiable en 2026 ?
Partiellement. Sa dernière version amont stable date de 2018, ce qui limite sa capacité à repérer des menaces récentes. Certaines distributions appliquent encore des correctifs à leur paquet, sans ajouter de nouvelles signatures amont. Il reste utile comme couche de vérification, à condition de le croiser avec chkrootkit, plus à jour.
Quelle est la différence entre rkhunter et chkrootkit ?
Les deux cherchent des rootkits, par des méthodes voisines. La différence tient à la maintenance : chkrootkit a publié la version amont 0.59 en janvier 2026, tandis que la dernière version amont de rkhunter date de 2018. Les comparer fournit deux avis complémentaires, sans garantir qu’un système est sain.
Comment savoir si mon serveur Linux est infecté ?
Aucun outil ne le garantit à lui seul. Combinez un scan chkrootkit et rkhunter, un scan ClamAV, l’examen des processus et connexions réseau actifs, et un audit Lynis. Une divergence entre ces sources est un signal à investiguer. En cas de suspicion forte, déconnectez la machine du réseau et analysez le disque depuis un support de secours fiable.
ClamAV ralentit-il le système ?
Un scan à la demande avec clamscan consomme du processeur et de la mémoire pendant son exécution, sans impact le reste du temps. Le mode résident (clamd) et surtout le scan à l’accès (clamonacc) pèsent en continu : à réserver aux serveurs, pas aux postes de bureau.
Conclusion
La bonne approche sous Linux n’est pas d’empiler des antivirus, mais d’utiliser le bon outil au bon moment. ClamAV pour scanner des fichiers, en particulier ceux destinés à Windows ou transitant par un serveur. rkhunter et chkrootkit comme signaux complémentaires lors d’un contrôle ponctuel, en gardant à l’esprit qu’aucun des deux ne garantit l’absence de rootkit. Lynis pour durcir le système en amont. Et, avant tout, un système tenu à jour et limité aux dépôts officiels — la mesure de sécurité qui compte le plus.
Pour prolonger ce durcissement, appliquez les bonnes pratiques de configuration et de sécurisation de SSH, et si vous planifiez des scans réguliers, appuyez-vous sur la méthode détaillée pour automatiser des tâches avec cron.
