Ver informatique.

Un ver informatique est un malware qui se diffuse en exploitant des services réseau, des partages ouverts ou des vulnérabilités non corrigées, en se copiant de système en système sans s'attacher à un programme hôte. Les vers peuvent saturer les liens, dégrader des services, déposer des charges secondaires (rançongiciels, portes dérobées) et atteindre des systèmes internes non exposés directement à Internet.

Comment les vers se propagent. Un ver recherche les hôtes accessibles, teste chacun d'eux contre un exploit ou un jeu d'identifiants, puis installe une copie qui répète le cycle : la croissance est exponentielle jusqu'à ce que la population vulnérable soit épuisée ou que le réseau s'effondre sous le trafic de balayage. Le ver SQL Slammer de 2003 a exploité un dépassement de tampon dans le SQL Server 2000 Resolution Service (corrigé par MS02-039 six mois plus tôt) à l'aide d'un unique paquet UDP de 376 octets vers le port 1434 ; il doublait sa population infectée environ toutes les 8,5 secondes et a mis hors ligne de vastes portions d'Internet en quelques minutes. Conficker (2008) a enchaîné la faille RPC MS08-067 avec l'exécution automatique depuis les clés USB et des attaques par dictionnaire sur les partages, constituant un botnet de plusieurs millions de machines. WannaCry (2017) a fusionné l'exploit EternalBlue de SMBv1 (MS17-010), issu d'une fuite, avec un rançongiciel, et Stuxnet a franchi des réseaux isolés (air gaps) via des clés USB infectées pour atteindre les automates des centrifugeuses iraniennes.

Les défenses comprennent le patching rapide des services exposés au réseau, la désactivation des protocoles obsolètes (SMBv1, RDP faible), la segmentation réseau pour rompre l'accessibilité latérale, le filtrage sortant (egress), la limitation du débit du trafic de balayage sortant et la détection d'un éventail anormal de connexions est-ouest.

flowchart LR
  A[Hôte infecté] --> B[Balayer le réseau à la recherche<br/>d'un service vulnérable]
  B --> C{Cible<br/>vulnérable ?}
  C -->|Non| B
  C -->|Oui| D[Exploit / identifiant faible]
  D --> E[Copier le ver vers la cible]
  E --> F[Le nouvel hôte exécute le ver]
  F --> B
  E --> G[Déposer une charge secondaire<br/>rançongiciel / porte dérobée]