Worm (Robak komputerowy)
Robak komputerowy (worm) to malware, które kopiuje się na kolejne systemy głównie siłami własnymi: przez lukę w usłudze sieciowej, słabe hasło na udziale, automatyczny wektor w protokole. W klasycznym podręczniku różnica względem wirusa polega na tym, że wirus zwykle potrzebuje pliku-nosiciela i aktu uruchomienia, a robak niesie siebie dalej. Granice w 2020+ bywają rozmyte, bo kampanie łączą kilka mechanizmów. Definicja wciąż pomaga czytać raporty.
Na blackweb.pl robak interesuje mnie jako infrastruktura epidemii: szybkość, obciążenie łączy, budowa botnetu, dostarczanie ransomware. Bez przepisów na skanowanie.
Jak się rozchodzi (opisowo)
Typowy wzorzec: exploit na wystawioną usługę, słownikowe hasła na SMB/RDP, exploity w routerach i IoT, czasem łańcuch przez pocztę z automatycznym uruchomieniem w starych klientach. Po wejściu robak szuka kolejnych celów w LAN i w internecie. Stąd fale ruchu, które widać na IDS i u ISP: skany portów, powtarzalne payloady, anomalia DNS.
Słynne przykłady historyczne (Morris 1988, Code Red, Conficker, WannaCry z komponentem robakowym na EternalBlue) pokazują skalę, nie “jak powtórzyć”. WannaCry łączył szyfrowanie z rozprzestrzenianiem sieciowym: tam, gdzie brakowało łatki, fala szła sama. Opisy na blogu o dużych atakach i o ransomware idą w tę stronę.
Skutki poza “zainfekowanym plikiem”
Zapchane łącza i CPU. Tysiące hostów w botnetcie gotowych do DDoS albo spamu. Wtórne ładunki: stealer, miner, backdoor. W firmie jeden niezaktualizowany serwer Windows potrafi stać się trampoliną do segmentu, którego nikt nie uważał za “internetowy”. Segmentacja i patch management są tu nudne i skuteczniejsze niż kolejny baner antywirusa.
Robak lubi homogeniczność. Jedna nieruszona wersja oprogramowania na stu maszynach to jeden CVE i sto celów. Heterogeniczność i szybkie łatanie zmniejszają powierzchnię. Sandbox i EDR łapią część zachowań po fakcie.
Worm a inne etykiety
Trojan czeka na uruchomienie przez użytkownika. Spyware i infostealer zbierają dane. Robak priorytetem robi replikację. Współczesne rodziny często są hybrydami: robakowy spreader plus ransomware plus eksfiltracja. Etykieta w raporcie CERT bywa umowna. Ważniejszy jest wektor i skutek dla Twojego modelu.
Obrona
Inwentaryzacja usług wystawionych na świat. Szybkie łatki krytycznych CVE, zwłaszcza tych z publicznym exploitem. Wyłączenie zbędnych udziałów i legacy protokołów. Silne hasła i 2FA tam, gdzie protokół pozwala. Segmentacja LAN. Monitoring skanów wewnętrznych (host skanujący resztę sieci o 3 w nocy bywa sygnałem). IoT na osobnej sieci, bo tanie kamery rzadko dostają update.
Dla domowego użytkownika: router z aktualnym firmware, wyłączone UPnP tam, gdzie niepotrzebne, ostrożność wobec “darmowych” tooli, które same otwierają drzwi. Dla opsec: świadomość, że infekcja sieciowa nie pyta o ideologię. Pyta o port i wersję.