En mask sprider sig av sig själv. Den behöver inte en värdfil eller en användare för att klicka på något. Den hittar sårbara system, utnyttjar dem och kopierar sig själv. Sedan upprepar den sig. Maskar kan sprida sig över internet på några minuter. Morris-masken 1988 infekterade tusentals maskiner och förstörde en betydande del av det tidiga internet. Det var en olycka, men skadan var verklig. Code Red 2001 vanställde webbplatser och lanserade denial-of-service-attacker. Conficker infekterade miljontals Windows-maskiner 2008 och byggde ett massivt botnät.

Maskar utnyttjar nätverkstjänster, svaga lösenord och sårbarheter som inte uppdaterats. De söker efter mål, ofta slumpmässigt, och rör sig snabbt. Vissa bär nyttolaster. Andra sprider sig bara. Skillnaden är mindre viktig än hastigheten. En mask kan kompromettera ett helt nätverk innan administratörer vet att det existerar. Försvar kräver patchning, segmentering och nätverksövervakning. En mask som inte kan nå en sårbar tjänst kan inte sprida sig. Ett nätverkssegment som blockerar onödig trafik saktar ner den. Detektering fokuserar på avvikande skanning och snabba anslutningsförsök. När varningarna utlöses kan masken redan ha spridit sig. Förebyggande är den enda tillförlitliga strategin. När en snabbt spridande mask väl är lös är inneslutning en kapplöpning mot tiden.

Maskegenskaper

• Självreplikerande — ingen värd eller användare behövs
• Nätverksbaserat — sprids genom sårbarheter och öppna tjänster
• Snabb — kan infektera tusentals system på några minuter
• Valfri nyttolast — vissa sprider endast, andra levererar skadlig kod

En mask är ett virus utan koppel. Den går dit den vill och behöver ingen hjälp.