Червь распространяется сам по себе. Ему не нужен файл hosts или пользователь, чтобы что-либо щелкнуть. Он находит уязвимые системы, использует их и копирует себя. Затем он повторяет процесс. Черви могут распространиться по интернету за считанные минуты. Червь Морриса в 1988 году заразил тысячи машин и парализовал значительную часть раннего интернета. Это была случайность, но ущерб был реальным. Code Red в 2001 году взломал веб-сайты и запустил атаки типа «отказ в обслуживании». Conficker в 2008 году заразил миллионы машин под управлением Windows и создал масштабный ботнет.

Черви используют уязвимости сетевых сервисов, слабые пароли и незащищенные уязвимости. Они сканируют сеть в поисках целей, часто случайным образом, и быстро распространяются. Некоторые несут в себе вредоносный контент. Другие просто распространяются. Разница между ними менее важна, чем скорость. Червь может скомпрометировать всю сеть, прежде чем администраторы узнают о его существовании. Защита требует установки обновлений, сегментации и мониторинга сети. Червь, который не может достичь уязвимого сервиса, не может распространяться. Сетевой сегмент, блокирующий ненужный трафик, замедляет его распространение. Обнаружение фокусируется на аномальном сканировании и быстрых попытках подключения. К моменту срабатывания оповещений червь может уже распространиться. Профилактика — единственная надежная стратегия. Как только быстро распространяющийся червь вырывается на свободу, сдерживание становится гонкой со временем.

Характеристики червей

• Самовоспроизводящийся — не требует хоста или пользователя.
• Распространяется по сети — через уязвимости и открытые сервисы.
• Быстро — может заразить тысячи систем за считанные минуты.
• Полезная нагрузка необязательна — некоторые программы только распространяют вредоносное ПО, другие доставляют вредоносные программы.

Червь — это вирус без поводка. Он ползает куда хочет и не нуждается в помощи.