Un ver informatique est un logiciel malveillant qui se reproduit sur plusieurs ordinateurs en utilisant un réseau informatique comme Internet. Il a la capacité de se dupliquer une fois qu'il a été exécuté. Contrairement au virus, le ver se propage sans avoir besoin de se lier à d'autres programmes exécutables.
Historique
vignette| Disquette contenant le « ver de Morris » au musée de l'histoire de l'ordinateur. Le terme « ver » (en anglais « worm ») est utilisé pour la première fois en 1975 par le romancier britannique John Brunner dans son roman Sur l'onde de chocBrunner, John (1975). The Shockwave Rider. New York: Ballantine Books. ..
Le , Robert Tappan Morris, étudiant en informatique, met en circulation ce qui a été appelé plus tard le ver de Morris et qui causa le crash d'un très grand nombre d'ordinateurs sur Internet. On pense que cela en affecta un dixième d'entre eux. Durant le procès de Morris, la cour a estimé que le coût de l'élimination du virus peut être évalué entre 200 et . C'est cet événement qui est à l'origine de la création du CERT Coordination Center et de la liste de diffusion Phage. Quant à Morris, il est la première personne condamnée en vertu de la loi américaine sur les fraudes et les abus (Computer Fraud and Abuse Act).
En 1997 se répand le premier ver de courrier électronique, connu sous le nom de ShareFun et écrit dans le langage macro WordBasic pour Microsoft Word 6/7. La même année fut découvert le premier ver pouvant se propager via IRC, qui utilisait le fichier script.ini du programme mIRC.
En 1999, le ver de messagerie Melissa se répand dans le monde entier via Outlook et attire l'attention des médias. Des vers complexes apparaissent, tels que Toadie, qui infecte à la fois les fichiers DOS et Windows et se propage via IRC et le courrier électronique et W32.Babylonia, qui est le premier logiciel malveillant à se mettre à jour.
En 2001 apparaissent les premiers vers dotés de leur propre moteur SMTP. À partir de ce moment, les vers ne dépendent plus de Microsoft Outlook (Express). En outre apparaissent les premiers vers pouvant se propager via ICQ ou les réseaux peer-to-peer. Le ver Code Red se diffuse largement, en exploitant une faille de sécurité dans les IIS de Microsoft. En exploitant les vulnérabilités des services de réseau, les premiers vers sans fichiers peuvent alors apparaître, se propageant par les failles de sécurité et ne restant que dans la mémoire vive, de sorte qu'ils ne s'inscrivent pas dans le disque dur.
En 2003, le ver SQL Slammer se propage rapidement en exploitant une faille de sécurité dans Microsoft SQL Server. Le premier ver touchant les particuliers apparaît en avec W32.Blaster, qui exploite une faille de sécurité dans le système d'exploitation Microsoft Windows.
En 2004, le ver Sasser exploite une faille de sécurité dans les systèmes d'exploitation Windows (2000, XP, Server 2003) pour attaquer notamment des ordinateurs de particuliers. La première version du ver Mydoom, dont la propagation par mail est la plus rapide à ce jour, se propage mondialement. En outre, SymbOS.Caribe est le premier ver de téléphone mobile à se propager en utilisant la technologie de réseau Bluetooth sur les smartphones équipés du système d'exploitation Symbian OS.
En 2005, SymbOS.Commwarrior est le premier ver à pouvoir s'envoyer via MMS. La propagation des vers de téléphones portables est désormais signalée par plusieurs fabricants de logiciels antivirus.
En février 2006, Leap est le premier ver touchant les systèmes d'exploitation MacOS d'Apple. En mars, un groupe de recherche néerlandais dirigé par le professeur d'université Andrew Tanenbaum publie le premier ver informatique pour les puces radio RFID. Une injection SQL dans le programme de base de données Oracle permet au programme de 127 octets de se propager de manière indépendante.
En 2008, la propagation du ver Agent.btz pousse le commandement stratégique des États-Unis à publier une directive interdisant l'utilisation de clés USB personnelles et d'autres dispositifs de stockage amovibles sur le réseau informatique, ainsi que l'utilisation de l'AutoRun.
En 2010, le ver Stuxnet, d'une complexité très élevée qui se reflète dans l'exploitation de quatre vulnérabilités zero-day pour Windows et une taille de fichier très minime, est utilisé afin de prendre le contrôle de WinCC, un logiciel SCADA de Siemens.
Mode opératoire Le concept de ver vient des quines ou programmes autoreproducteurs qui eux-mêmes sont issus d'idées des logiciens John von Neumann et W. V. Quine.
Un ver, contrairement à un virus informatique, n'a pas besoin d'un programme hôte pour se reproduire. Il exploite les différentes ressources de l'ordinateur qui l'héberge pour assurer sa reproduction.
L'objectif d'un ver n'est pas seulement de se reproduire. Le ver a aussi habituellement un objectif malfaisant, par exemple : espionner l'ordinateur où il se trouve ; offrir une porte dérobée à des pirates informatiques ; détruire des données sur l'ordinateur où il se trouve ou y faire d'autres dégâts ; envoyer de multiples requêtes vers un site Internet dans le but de le saturer (attaque par déni de service).
L'activité d'un ver a souvent des effets secondaires comme : le ralentissement par saturation de la machine infectée ; le ralentissement par saturation du réseau utilisé par la machine infectée ; le plantage de services ou du système d'exploitation de la machine infectée.
Des vers écrits sous forme de scripts peuvent être intégrés dans un courriel ou sur une page HTML (chevaux de Troie). Ces vers sont activés par les actions de l'utilisateur qui croit accéder à des informations lui étant destinées.
Un ver peut aussi être programmé en C, C++, Delphi, assembleur, ou dans un autre langage de programmation. La plupart du temps, les vers utilisent des failles de logiciels pour se propager. Ces failles sont habituellement corrigées par les éditeurs de logiciel dès que les vers apparaissent. En téléchargeant les versions les plus récentes de ces logiciels dès qu'elles apparaissent, on peut réduire grandement la probabilité d'être infecté par des vers informatiques.
Les données qui sont corrompues ou détruites par un ver informatique sont généralement irrécupérables.
Les caractéristiques vignette|Fichier hexadécimal du ver Blaster, montrant un message laissé au fondateur de Microsoft, Bill Gates, par le programmeur. Le ver est souvent transmis aux ordinateurs de différentes manières, telles que le courrier électronique, des programmes source obscurs, des sites de forum, des DVD et des CD de jeux piratés, des clés usb.
Le ver est conçu pour se copier d'un ordinateur à un autre automatiquement. Tout d'abord, il prend le contrôle des propriétés qui transmettent des fichiers ou des informations sur l'ordinateur. Une fois qu'un ver entre dans votre système, il peut partir tout seul. Cela peut entraîner un trafic réseau important en raison de l'effet domino, ce qui ralentit les réseaux des lieux de travail et l'ensemble de l'Internet. Les nouveaux vers se propagent très rapidement lorsqu'ils apparaissent. Le ver est une sous-classe de virus. Un ver se propage généralement sans action de l'utilisateur et distribue des copies complètes de lui-même (éventuellement modifiées) de réseaux en réseaux. Un ver peut consommer de la mémoire ou de la bande passante réseau, ce qui peut entraîner une panne d'ordinateur.
Comme les vers n'ont pas besoin d'un programme ou d'un fichier "support" pour se répandre, ils peuvent ouvrir un tunnel dans votre système et permettre à une autre personne de contrôler votre ordinateur à distance. Des exemples de vers récents incluent les vers Sasser et Blaster.
Les classes de vers
Vers peer-to-peer (P2P) Le peer-to-peer est une forme de réseau qui relie les ordinateurs du réseau sans serveur, c'est-à-dire qui établit une connexion directe entre les utilisateurs individuels. La plupart des réseaux de partage de fichiers sur Internet, tels que Kazaa, Morpheus ou les systèmes BitTorrent utilisent la technologie P2P. Un ver peut se propager de trois manières différentes dans un réseau de partage de fichiers : La première manière est que le ver se copie dans le dossier partagé à partir duquel les autres utilisateurs peuvent télécharger des fichiers. Pour ce type de ver, une dénomination correcte du fichier contenant le ver est importante, car plus d'utilisateurs téléchargent un fichier avec un nom intéressant qu'un fichier avec un nom généré de manière aléatoire. Ce type de distribution dans les réseaux de partage de fichiers est simple, mais pas très efficace, car les réseaux de partage de fichiers échangent généralement des fichiers plutôt volumineux et presque tous les programmes de partage de fichiers disposent désormais de filtres efficaces pour exclure certains formats de fichiers suspects. La deuxième méthode de propagation du ver utilise un protocole P2P pour proposer un fichier infecté comme résultat de recherche (un fichier .torrent par exemple) à d'autres utilisateurs du réseau P2P chaque fois qu'ils effectuent une recherche. L'utilisateur copie alors le ver sur son ordinateur et l'infecte à l'ouverture du fichier. Cette méthode de propagation est très efficace si la taille du fichier du ver est approximativement la même que celle du fichier recherché. La troisième méthode consiste pour le ver à attaquer une vulnérabilité chez ses voisins du réseau P2P. Cette méthode peut atteindre une vitesse de propagation très importante lorsqu'aucune action de l'utilisateur (comme le téléchargement d'un fichier et son lancement sur l'ordinateur) n'est requise. Le ver infecte alors ces systèmes de manière entièrement automatique. Une fois que le ver est également capable de visualiser une liste des voisins de chaque client infecté sur le réseau P2P, il peut les cibler. Cela permet au ver d'éviter d'être détecté car il n'a pas besoin d'effectuer un nombre excessif de connexions à d'autres systèmes sur Internet, ce qui est considéré comme un comportement anormal par les systèmes de protection. Un réseau P2P est basé sur le fait que chaque utilisateur établit de nombreuses connexions avec les autres participants, ce qui rend la détection du ver beaucoup plus difficile en fonction du trafic qu'il génère.
Vers de courrier électronique De nombreux vers utilisent les e-mails pour se propager, en envoyant soit le fichier exécutable contenant le ver, soit un lien hypertexte vers celui-ci. Les e-mails peuvent être envoyés soit via une prise de contrôle à distance de programmes de messagerie pré-installés, tels que Microsoft Outlook, soit par un sous-programme SMTP propre au ver. L'adresse électronique du destinataire se trouve souvent dans des carnets d'adresses préinstallés. Toutefois, d'autres fichiers sur les disques durs (tels que les fichiers Internet temporaires) peuvent également être utilisés par le ver, ou les adresses électroniques de sites Web spéciaux (tels que les livres d'or en ligne) peuvent être utilisées pour la distribution initiale. Des exemples notoires de cette méthode de propagation sont Loveletter (aussi connu sous le nom ILOVEYOU), qui s'est répandu de façon explosive par courrier électronique en , ou Netsky.
Vers de messagerie instantanée Les programmes de messagerie instantanée tels que WhatsApp, ICQ, Windows Live Messenger ou Skype sont également vulnérables aux logiciels malveillants en raison de leur connexion à Internet. Un ver de ce type se propage en envoyant à un utilisateur un lien vers une page web contenant le ver. Si l'utilisateur clique sur le lien, le ver est alors installé et exécuté sur l'ordinateur de l'utilisateur, les applications de messagerie instantanée tendant à ne pas avoir d'analyseur HTML propre et à utiliser plutôt celui du navigateur par défaut de l'utilisateur. Une fois installé, le ver se propage en envoyant le lien à tous les contacts enregistrés dans l'ordinateur infecté.
Vers de médias amovibles