Un ver se propage de manière autonome. Il n'a besoin ni de fichier hôte ni d'intervention de l'utilisateur. Il repère les systèmes vulnérables, les exploite et se réplique. Puis il recommence. Les vers peuvent se propager sur Internet en quelques minutes. Le ver Morris, en 1988, a infecté des milliers de machines et paralysé une part importante des débuts d'Internet. C'était un accident, mais les dégâts ont été bien réels. Code Red, en 2001, a défiguré des sites web et lancé des attaques par déni de service. Conficker, en 2008, a infecté des millions de machines Windows et constitué un immense réseau de zombies.

Les vers exploitent les services réseau, les mots de passe faibles et les vulnérabilités non corrigées. Ils recherchent des cibles, souvent de manière aléatoire, et se déplacent rapidement. Certains transportent des charges utiles, d'autres se propagent simplement. La distinction importe moins que la vitesse. Un ver peut compromettre un réseau entier avant même que les administrateurs ne s'aperçoivent de son existence. La défense repose sur l'application de correctifs, la segmentation et la surveillance du réseau. Un ver qui ne peut atteindre un service vulnérable ne peut se propager. Un segment de réseau bloquant le trafic inutile ralentit sa progression. La détection se concentre sur les analyses anormales et les tentatives de connexion rapides. Lorsque les alertes sont déclenchées, le ver a peut-être déjà propagé. La prévention est la seule stratégie fiable. Une fois qu'un ver à propagation rapide est en liberté, son confinement devient une course contre la montre.

Caractéristiques des vers

• Auto-réplicatif — aucun hôte ni utilisateur requis
• Propagation en réseau — via les vulnérabilités et les services ouverts
• Rapide — peut infecter des milliers de systèmes en quelques minutes
• Charge utile facultative — certaines se propagent uniquement, d’autres délivrent des logiciels malveillants

Un ver est un virus sans laisse. Il va où il veut et n'a besoin de personne.