utilisé ou actif) pour que l’attaque par
débordement du buffer fonctionne.
De telles attaques réussissent parce
qu’un navigateur peut activer la plus
grande partie du logiciel IM à  cause des
mots de passe que le client IM installe
dans le registre. Ainsi, un hyperlien
commençant par aim:// peut activer le
client chat d’AOL. Un hyperlien très
étudié peut activer le client IM et transmettre
des messages et des commandes
prédéfinis.

Plus souvent, il arrive que les utilisateurs
d’IM acceptent un fichier provenant
d’un intrus déguisé en source
légitime. L’intrus dit au destinataire de
faire confiance à  l’envoyeur et d’exécuter
le fichier après l’avoir transféré. Le
fichier transféré peut contenir un virus,
un cheval de Troie, ou un ver. Les attaquants
envoient souvent aux utilisateurs
d’IRC des fichiers script élaborés avec malignité, qui donnent aux premiers
la maîtrise complète des machines
des seconds. L’assaillant à  distance
peut alors déclencher des
transferts de fichiers et supprimer des
fichiers sur le disque dur de l’utilisateur
ou, par une commande par motclé
envoyée à  un canal public commun,
faire en sorte que les PC compromis attaquent
une autre victime ou site Web.
Les attaquants peuvent ainsi propager
d’autres attaques sans qu’aucune
preuve ne désigne leurs machines.

Diffuser du logiciel nuisible. Les attaquants
ont codé des centaines de
vers, de virus, et de chevaux de Troie à 
disséminer sur les canaux IM. En principe,
dès que le logiciel malveillant
s’est exécuté sur le PC de l’utilisateur
exploité, il commence à  se propager
comme un ver e-mail, mais en utilisant
IM. Il utilise la liste de contacts de l’utilisateur
exploité pour envoyer des
messages IM demandant aux destinataires
d’accepter et d’exécuter le fichier
infecté.

Faire la publicité des attaques fructueuses. Beaucoup de vers et de virus
utilisent IM pour contacter leurs initiateurs
afin de les informer de l’existence
d’une nouvelle victime. Les attaquants
attendent chaque nouvelle infection,
dans des canaux cryptés, protégés par
mots de passe, privés. Une fois que le
logiciel malveillant a activé un nouvel
hôte, il rend compte au canal secret
(en installant souvent son propre
client IM dans la foulée), publiant le
nom et l’adresse IP de la victime.
L’attaquant peut alors pénétrer directement
dans la machine compromise ou
attendre qu’un grand nombre de machines
exploitées s’accumulent, puis
déclencher une attaque DDOS
(Distributed Denial of Service) contre
une autre victime.