Ein Wurm verbreitet sich selbstständig. Er benötigt weder eine Host-Datei noch einen Benutzer, der etwas anklickt. Er findet anfällige Systeme, nutzt diese aus und kopiert sich selbst. Dann wiederholt er seinen Vorgang. Würmer können sich innerhalb von Minuten im Internet verbreiten. Der Morris-Wurm infizierte 1988 Tausende von Rechnern und legte einen Großteil des frühen Internets lahm. Es war ein Unfall, doch der Schaden war real. Code Red verunstaltete 2001 Webseiten und startete Denial-of-Service-Angriffe. Conficker infizierte 2008 Millionen von Windows-Rechnern und baute ein riesiges Botnetz auf.

Würmer nutzen Netzwerkdienste, schwache Passwörter und ungepatchte Sicherheitslücken aus. Sie suchen nach Zielen, oft zufällig, und verbreiten sich schnell. Manche transportieren Schadsoftware, andere verbreiten sich einfach. Die Geschwindigkeit ist dabei wichtiger als die Unterscheidung. Ein Wurm kann ein ganzes Netzwerk kompromittieren, bevor die Administratoren seine Existenz bemerken. Zur Verteidigung sind Patches, Segmentierung und Netzwerküberwachung erforderlich. Ein Wurm, der keinen angreifbaren Dienst erreichen kann, kann sich nicht ausbreiten. Ein Netzwerksegment, das unnötigen Datenverkehr blockiert, bremst ihn aus. Die Erkennung konzentriert sich auf anomale Scans und schnelle Verbindungsversuche. Bis Warnungen ausgelöst werden, kann sich der Wurm bereits verbreitet haben. Prävention ist die einzig zuverlässige Strategie. Sobald ein sich schnell verbreitender Wurm im Umlauf ist, beginnt ein Wettlauf gegen die Zeit.

Wurmmerkmale

• Selbstreplizierend – kein Host oder Benutzer erforderlich
• Netzwerkbasiert – verbreitet sich über Sicherheitslücken und offene Dienste
• Schnell – kann innerhalb von Minuten Tausende von Systemen infizieren.
• Nutzlast optional – manche verbreiten sich nur, andere liefern Schadsoftware.

Ein Wurm ist ein Virus ohne Leine. Er geht, wohin er will, und braucht keine Hilfe.