Een worm verspreidt zich vanzelf. Hij heeft geen hostbestand nodig en er hoeft geen gebruiker ergens op te klikken. Hij vindt kwetsbare systemen, maakt daar misbruik van en kopieert zichzelf. Vervolgens herhaalt hij dit proces. Wormen kunnen zich binnen enkele minuten over het internet verspreiden. De Morris-worm infecteerde in 1988 duizenden computers en legde een aanzienlijk deel van het internet in de beginjaren plat. Het was een ongeluk, maar de schade was reëel. Code Red ontsierde in 2001 websites en lanceerde denial-of-service-aanvallen. Conficker infecteerde in 2008 miljoenen Windows-computers en bouwde een enorm botnet op.

Wormen misbruiken netwerkdiensten, zwakke wachtwoorden en niet-gepatchte beveiligingslekken. Ze scannen naar doelwitten, vaak willekeurig, en verspreiden zich snel. Sommige wormen bevatten schadelijke software. Andere verspreiden zich simpelweg. Het onderscheid is minder belangrijk dan de snelheid. Een worm kan een heel netwerk compromitteren voordat beheerders weten dat hij bestaat. Verdediging vereist het patchen, segmenteren en monitoren van het netwerk. Een worm die geen toegang heeft tot een kwetsbare dienst, kan zich niet verspreiden. Een netwerksegment dat onnodig verkeer blokkeert, vertraagt ​​de verspreiding. Detectie richt zich op afwijkend scangedrag en snelle verbindingspogingen. Tegen de tijd dat er waarschuwingen afgaan, kan de worm zich al hebben verspreid. Preventie is de enige betrouwbare strategie. Zodra een snel verspreidende worm eenmaal actief is, is het indammen ervan een race tegen de klok.

Wormkenmerken

• Zelfreplicerend — geen host of gebruiker nodig
• Netwerkgebaseerd — verspreidt zich via kwetsbaarheden en open services.
• Snel — kan duizenden systemen in enkele minuten infecteren.
• Payload optioneel — sommige verspreiden alleen malware, andere brengen malware over.

Een worm is een virus zonder teugels. Het gaat waar het wil en heeft geen hulp nodig.