Robak rozprzestrzenia się samoczynnie. Nie potrzebuje pliku hosta ani użytkownika do kliknięcia czegokolwiek. Znajduje podatne systemy, wykorzystuje je i kopiuje się. Następnie powtarza ten proces. Robaki mogą rozprzestrzeniać się w internecie w ciągu kilku minut. Robak Morris z 1988 roku zainfekował tysiące komputerów i unieruchomił znaczną część wczesnego internetu. To był przypadek, ale szkody były realne. Code Red z 2001 roku zhakował strony internetowe i uruchomił ataki typu „odmowa usługi”. Conficker z 2008 roku zainfekował miliony komputerów z systemem Windows i zbudował ogromną sieć botów.

Robaki wykorzystują usługi sieciowe, słabe hasła i niezałatane luki w zabezpieczeniach. Skanują cele, często losowo, i poruszają się szybko. Niektóre przenoszą ładunki. Inne po prostu się rozprzestrzeniają. Różnica jest mniej istotna niż prędkość. Robak może zainfekować całą sieć, zanim administratorzy zorientują się o jego istnieniu. Obrona wymaga stosowania poprawek, segmentacji i monitorowania sieci. Robak, który nie może dotrzeć do podatnej usługi, nie może się rozprzestrzeniać. Segment sieci blokujący niepotrzebny ruch spowalnia go. Wykrywanie koncentruje się na nietypowym skanowaniu i szybkich próbach połączenia. Zanim uruchomią się alerty, robak może już się rozprzestrzenić. Zapobieganie to jedyna niezawodna strategia. Gdy szybko rozprzestrzeniający się robak wydostanie się na wolność, powstrzymanie go to wyścig z czasem.

Charakterystyka robaka

• Samoreplikujące się — nie potrzeba hosta ani użytkownika
• Oparte na sieci — rozprzestrzenia się poprzez luki w zabezpieczeniach i otwarte usługi
• Szybki — może zainfekować tysiące systemów w ciągu kilku minut
• Opcjonalny ładunek — niektóre tylko rozprzestrzeniają, inne dostarczają złośliwe oprogramowanie

Robak to wirus bez smyczy. Porusza się, gdzie chce i nie potrzebuje pomocy.