Was ist Pharming und wie kann es verhindert werden?

In der heutigen Zeit wird der leichtgläubige Computerbenutzer immer seltener. Mit der weit verbreiteten Malware-Aufklärung im Internet lassen sich die Menschen nicht mehr so leicht von den Betrugs-E-Mails täuschen, die behaupten, sie hätten Millionen Dollar gewonnen.

Das bedeutet jedoch nicht, dass Hacker weniger entschlossen geworden sind; es bedeutet nur, dass sie intelligenter arbeiten müssen. Vom Ausspionieren der Unternehmensinfrastruktur und dem Versenden von E-Mails an Mitarbeiter von der Adresse des Chefs bis hin zum Entführen von Facebook-Konten der Nutzer und dem Messaging von Freunden ist der Missbrauch von Vertrauen heutzutage die bevorzugte Methode des Hackens.

Eine Methode, die sie im Ärmel haben, besteht darin, Ihren Computer von einer legitimen URL auf eine gefälschte Kopie umzuleiten, wo sie Anmeldedaten erlangen können, wenn Sie Ihre Informationen auf der falschen Seite eingeben. Dies wird als „Pharming“ bezeichnet und kann in seinen Methoden ziemlich beängstigend sein. Hier erklären wir, was Pharming ist und wie es funktioniert.

Was ist Pharming?

Pharming ist an sich ein zweistufiger Prozess, der zwei Angriffsvektoren kombiniert: DNS-Vergiftung und Phishing. Durch die Nutzung der Stärken beider entsteht eine hochgradig glaubwürdige Falle, in die Menschen tappen können. Während Phishing funktioniert, indem es Köder auslegt und hofft, dass die Menschen darauf anspringen, kann Pharming ganze DNS-Server übernehmen und die Menschen auf gefälschte Websites umleiten.

Um also die Frage „Was ist Pharming?“ zu beantworten, müssen wir zunächst die beiden Komponenten analysieren, auf denen es basiert, und sehen, wie sie miteinander interagieren, um den gesamten Pharming-Angriff zu bilden.

DNS-Vergiftung

Man kann allein am Namen erkennen, wie niederträchtig dieser Angriffsvektor ist! DNS-Vergiftung funktioniert, indem sie eine DNS-Abfrage kapert. Wenn Sie eine Webadresse eingeben (wie www.facebook.com), muss der Computer diese in eine IP-Adresse umwandeln. Das liegt daran, dass Computer nicht verstehen, was „Facebook“ ist! URLs sind da, um es uns Menschen leichter zu machen, uns die Adressen von Websites zu merken. Computer wissen jedoch, was eine IP-Adresse ist. Um mit Facebook zu kommunizieren, wandelt ein Computer die URL in eine IP-Adresse um.

Dies geschieht, indem ein DNS-Server abgefragt wird, der wie ein Adressbuch für URLs und IP-Adressen fungiert. Sie verwenden den DNS-Server, um die IP-Adresse der URL zu finden (www.facebook.com -> 157.240.1.35) und verwenden sie dann, um mit den Facebook-Servern zu kommunizieren. Wenn ein Computer die IP-Adresse einer URL entdeckt hat, kann er die Adresse im Cache speichern. So kann er vermeiden, Zeit damit zu verschwenden, die gleiche IP-Adresse immer wieder nachzuschlagen. In diesem Beispiel wird er notieren, dass www.facebook.com zu 157.240.1.35 in seinem Cache führt.

DNS-Vergiftung funktioniert auf zwei Arten: entweder indem sie in einen Cache auf einem einzelnen PC eindringt und die IP-Adressen ändert, um auf bösartige Websites zu leiten, oder indem sie die DNS-Server selbst infiziert, sodass PCs, die die Abfrage durchführen, ein „infiziertes“ Ergebnis erhalten. In beiden Fällen landet der Benutzer, wenn er das nächste Mal „www.facebook.com“ in seinen Browser eingibt, anstelle der echten Website auf der „vergifteten“ gefälschten IP-Adresse.

Phishing

DNS-Vergiftung ermöglicht es einem Angreifer, Benutzer von einer legitimen Seite auf eine bösartige umzuleiten, obwohl der Benutzer die Adresse korrekt eingegeben hat. Dies ist jedoch nur Schritt eins; schließlich bringt es nicht viel, den Benutzer einfach auf eine andere Website umzuleiten! In Kombination mit der Vergiftung können Hacker Phishing verwenden, um eine einfache Umleitung in einen Gewinn zu verwandeln.

In unserem Beispiel leitet der Angreifer den Benutzer von Facebook auf eine Website seiner Wahl um. Es gibt viele Optionen, die der Angreifer wählen kann, aber bei einem Pharming-Angriff wählt der Angreifer eine Website, die er zuvor eingerichtet hat, um identisch mit Facebook auszusehen. Wenn der Benutzer www.facebook.com in seinen Browser eingibt, leitet die DNS-Vergiftung ihn zur gefälschten Facebook-Seite des Hackers um.

Jetzt, da der Benutzer auf der gefälschten Seite ist, wird er dann nach seinen Facebook-Anmeldedaten gefragt. In dem Glauben, sie seien auf der echten Facebook-Seite, gibt der Benutzer seine Anmeldedaten ein und überträgt seine Informationen an die Hacker, wodurch der Pharming-Angriff abgeschlossen wird.

Was kann getan werden

Zunächst ist es nützlich zu wissen, dass DNS-Server normalerweise von dem ISP, den Sie verwenden, betrieben werden. Um also Pharming-Angriffe gegen DNS-Server zu vermeiden, stellen Sie sicher, dass Sie einen zuverlässigen ISP wählen. Gute ISPs wissen über Pharming Bescheid und haben Gegenmaßnahmen, um ihre Server vor Vergiftungen zu schützen.

Aber was ist die Schwäche von Pharming, wenn es darum geht, die Dateien Ihres eigenen Computers zu infizieren? Zunächst sollten Sie immer sicherstellen, dass Sie eine gute Antivirus- oder Anti-Malware-Lösung installiert haben. Diese sollten hoffentlich in der Lage sein, eine Änderung an der Adresscache-Datei Ihres Computers zu erkennen und Sie zu warnen, bevor Schaden angerichtet wird.

Selbst ohne Antivirus können Sie jedoch einen Pharming-Angriff stoppen, indem Sie Ihren Verstand benutzen. Wenn Sie auf eine beliebte oder sichere Website zugreifen, wie z.B. soziale Medien oder Bankseiten, sehen Sie ein Vorhängeschloss in der Adressleiste und „HTTPS“ am Anfang der URL. Das bedeutet, dass die Website von einer autoritativen Drittpartei validiert wurde, um das zu sein, was sie vorgibt zu sein. Daher wurde ihr ein Zertifikat ausgestellt, und ihre Kommunikation wurde verschlüsselt.

Natürlich, wenn ein Pharming-Angriff Sie auf eine gefälschte Seite umgeleitet hat, sollte diese Seite kein Zertifikat haben, das sie als echt identifiziert. Selbst wenn die URL identisch mit dem echten aussieht, ist das Fehlen eines Zertifikats ein eindeutiges Zeichen. Stellen Sie sicher, dass das HTTPS-Zertifikat vorhanden ist, wenn Sie sich auf einer beliebten Seite anmelden. Wenn Sie bemerkt haben, dass das Zertifikat plötzlich „verschwunden“ ist, könnte etwas nicht stimmen!

Pharming täuschen

Mit mehreren Schritten zur Schaffung eines komplexen Angriffsvektors kann Pharming ein wenig beängstigend sein. Jetzt wissen Sie die Einzelheiten darüber, was Pharming ist und wie es funktioniert. Noch besser, wenn Sie scharfsinnig sind und einen sicheren ISP verwenden, müssen Sie sich möglicherweise keine Sorgen machen, Opfer von Pharming zu werden.

Wurden Sie oder jemand, den Sie kennen, jemals von einer realistisch aussehenden Website getäuscht? Lassen Sie es uns unten wissen.