Worm: cosa sono e come si diffondono in una rete

Il termine worm viene dall’inglese e vuol dire verme. Il nome descrive bene quello che fa: un worm si muove, e lo fa da solo.

È un software malevolo che si replica all’interno di una rete senza bisogno che nessuno lo esegua. Una volta dentro una macchina, passa alla successiva sfruttando le vulnerabilità dei sistemi che trova sul percorso. È questa la caratteristica che lo distingue dagli altri malware: non aspetta un clic.

Accorgersene è difficile, ma non impossibile. Vediamo come funziona, come si diffonde, che danni fa e cosa si può fare.

1. Worm malware, di che cosa si tratta
2. Worm, come funzionano
3. Worm virus, come si diffondono
4. Che danni possono creare in un’azienda
5. Come difendersi

Worm malware, di che cosa si tratta

Il worm è un software malevolo la cui peculiarità è quella di replicarsi continuamente all’interno di una rete, per incrementare gli effetti del suo lavoro e arrivare in qualsiasi punto possibile del network. Diversamente da altri tipi di malware, i worm generalmente non necessitano di interventi dall’esterno per potersi replicare: sono stati programmati per questo.

Una volta in esecuzione su un dispositivo, il worm crea copie di sé stesso e dei processi necessari alla sua esecuzione e diffusione. In alcuni casi simula file e processi di sistema per ridurre la visibilità del suo operato.

Moltiplicandosi, la sua pericolosità aumenta, e cresce anche la sua capacità di adattarsi al sistema, anche dopo un intervento di rimozione dell’infezione. Ad ogni riavvio del pc colpito, infatti, i processi creati dal malware potrebbero far ripartire l’attacco come se niente fosse accaduto. Così facendo, al software malevolo è consentito continuare a moltiplicarsi e diffondersi, sfruttando i mezzi di comunicazione del dispositivo per infettarne altri.

Worm, come funzionano

Generalmente il worm si intrufola nei computer tramite un allegato infetto o uno script eseguibile: contenuti allegati in un messaggio di posta elettronica.

Due dettagli tradiscono la replicazione: lo stesso processo ripetuto con PID consecutivi, e un nome che somiglia a un processo di sistema senza esserlo. Il traffico in uscita su ciascuna copia è la ricerca della macchina successiva.

I worm non solo entrano in maniera silente sul pc della vittima, ma difficilmente vengono identificati dai software antivirus. La ragione è che l’attività di replicarsi e comunicare in rete, presa in sé, non è distinguibile da un’attività legittima: è quello che fanno decine di processi di sistema.

Worm virus, come si diffondono

I metodi di diffusione dei worm sono molteplici.

In primo luogo, i worm si installano a bordo pc tramite download di software o file multimediali da fonti poco attendibili, reti di file sharing, e programmi per l’elusione del licensing di software a pagamento.

Poi ci sono i protocolli di comunicazione di rete, che sono uno dei metodi usati dai worm per passare da un dispositivo all’altro attraverso le reti locali.

Il caso Blaster

Uno dei worm che qualche anno fa fece un gran scalpore fu Blaster. Nell’agosto del 2003 sfruttava una vulnerabilità nel servizio RPC di Windows, per cui la correzione era già disponibile da un mese, e si installava su tutte le macchine raggiungibili nella rete locale che non l’avevano applicata.

È il primo esempio su larga scala di una dinamica che si ripete da allora: la correzione esisteva, e non era arrivata dove serviva. Quattordici anni dopo WannaCry ha fatto la stessa cosa con una vulnerabilità del protocollo SMBv1, corretta due mesi prima della campagna.

Allegati e script

Il metodo forse più comune di diffusione è tramite allegati ingannevoli o script annidati. Una volta che il virus si attiva nel computer, ha la capacità di sfruttare le vulnerabilità dei client di posta o dei browser per accedere alla rubrica dei contatti e inviare copie di sé, fino alla bonifica del dispositivo infetto.

Come nel caso del phishing, le email inviate dal worm utilizzano tecniche di social engineering per rendere il messaggio o l’allegato appetibile. Ed è possibile mascherare il reale indirizzo mittente, cosa che rende più difficile individuare l’origine dell’attacco.

Supporti di memoria rimovibili

I primi worm della storia si diffondevano tramite floppy disk. Oggi parliamo di pendrive, dischi esterni, unità SSD USB e memorie di massa di dispositivi come smartphone, macchine fotografiche o lettori multimediali.

Il worm annidato entra in funzione non appena il supporto viene collegato a un computer, sfruttando il nome o il funzionamento di file che i sistemi operativi interrogano per capire che tipo di dispositivo è stato collegato. E una volta entrato, si diffonderà su qualsiasi nuovo supporto collegato a quella macchina.

È il motivo per cui un worm sopravvive a una rete segmentata: non gli serve la rete, gli serve qualcuno che sposti una chiavetta.

Che danni possono creare i worm all’interno di un’azienda

Come ogni tipo di malware, i danni che i worm possono arrecare sono relativi allo scopo per cui sono stati creati.

La maggior parte dei worm crea danni lievi in termini di occupazione di risorse: sia come capacità computazionali sia come banda occupata, proprio in virtù della semplice attività di moltiplicazione e diffusione.

I worm più sofisticati interferiscono col normale funzionamento di applicazioni o sistemi operativi, rendendo obbligatorio un intervento di bonifica. In alcuni casi questo significa reinstallare i sistemi, quindi fermi macchina che si ripercuotono sulla produttività.

Ma le peculiarità di auto propagazione dei worm li rendono anche un ottimo vettore per attacchi di altro genere. Molti worm contengono un payload, ovvero codice che esegue operazioni indipendenti e che permette di installare altro malware: backdoor, trojan, keylogger, fino al ransomware.

Detto in altro modo: il worm porta, qualcun altro fa il danno. Ed è la ragione per cui un worm che sembra innocuo va trattato come un accesso non autorizzato, perché è quello che è.

Come difendersi

La prima cosa che raccomandiamo ai nostri clienti è la consapevolezza nell’uso degli strumenti informatici. Prudenza nell’apertura di email e allegati, nell’uso di dispositivi di memoria rimovibili, nella navigazione e nel download da internet.

Sul piano tecnico, i worm sfruttano due cose: vulnerabilità note per cui la correzione esiste, e protocolli obsoleti rimasti attivi per compatibilità. Sono entrambe condizioni che si possono trovare prima di un attacco, andando a guardare cosa è raggiungibile in rete e con quali versioni.

Aggiungete la segmentazione della rete, che serve a limitare fin dove un worm arriva quando entra. E la restrizione dei privilegi, perché un worm che gira con permessi amministrativi fa molto più danno dello stesso worm che gira con permessi ordinari.

I criminali informatici che programmano questi malware sono sempre alla ricerca di metodi più efficaci e di falle da sfruttare. Nella prevenzione è quindi fondamentale tenere aggiornati sistemi operativi, software e firmware degli apparati di rete, e monitorare le attività che si svolgono all’interno della propria rete.

Quello che non funziona è affidarsi al solo antivirus. Un worm che si replica in rete non fa nulla che, preso singolarmente, sembri malevolo.