Gusano informático (Worm)

Un gusano es un tipo de malware que se propaga por las redes informáticas por su cuenta, sin intervención humana directa.

Esa es la diferencia con un virus, y es la única que importa: un virus necesita que alguien ejecute un fichero infectado, mientras que un gusano se propaga solo, aprovechando vulnerabilidades en sistemas operativos, aplicaciones o servicios de red.

Como la propagación es automática, un gusano afecta a la disponibilidad, a la integridad y a la confidencialidad a una velocidad que ningún proceso manual puede igualar, y la ventana para contenerlo es igual de corta.

Qué lo caracteriza

Autopropagación. Busca sistemas alcanzables y vuelve a explotar la misma vulnerabilidad, copiándose hacia adelante. Una máquina infectada se convierte en muchas sin que nadie haya hecho clic en nada.

Daño, a veces como efecto secundario. Un gusano puede consumir recursos de red y de cómputo hasta el punto de degradar los servicios, y puede corromper o destruir datos, fuera esa la intención o no. Algunos de los incidentes más disruptivos que se recuerdan hicieron su daño simplemente propagándose más rápido de lo que nadie podía responder.

Sigilo y persistencia. Algunos están hechos para evitar la detección y para sobrevivir a un reinicio, de modo que eliminar la copia visible no acaba con la infección.

Un ejemplo

Un gusano llega a una red corporativa explotando una vulnerabilidad en el software de gestión de servidores.

Una vez que infecta un dispositivo, escanea automáticamente los demás dispositivos de la misma red en busca de esa misma vulnerabilidad.

Donde encuentra una, la explota y se copia a sí mismo.

Con el tiempo se propaga por todo el parque, congestionando la red, interrumpiendo servicios y, potencialmente, corrompiendo o borrando datos. Nadie tuvo que abrir un adjunto para que esto ocurriera.

Por qué la distinción cambia la respuesta

Frente a un virus, la formación en concienciación es un control real, porque hay una decisión humana de por medio. Frente a un gusano no lo es, porque no hay ninguna decisión.

Lo que detiene a un gusano es más estrecho y menos cómodo: parchear la vulnerabilidad que usa, y segmentar la red para que la alcanzabilidad quede limitada y el radio de daño tenga un borde. La segmentación es lo que convierte un incidente que abarca todo el parque en uno contenido, y es el control que más se aplaza porque, mientras falta, no se rompe nada a la vista.

La técnica de la autopropagación no ha desaparecido. Reaparece cada vez que un servicio muy desplegado tiene un fallo explotable en remoto, y se ha combinado con ransomware más de una vez, que es lo que convierte un payload que habría alcanzado a una máquina en uno que alcanza a todas las que puede.

Dónde leer más

Kaspersky, What is the difference between a virus and a worm: un tratamiento claro de la distinción, de los métodos de propagación y de las medidas preventivas de cada uno.