Qu'est-ce que le pharming et comment peut-il être évité ?

À notre époque, l’utilisateur d’ordinateur crédule devient de plus en plus rare. Avec l’éducation sur les logiciels malveillants répandue sur Internet, les gens ne se laissent plus si facilement tromper par les courriels d’escroquerie prétendant qu’ils ont gagné des millions de dollars.

Cela ne signifie pas que les hackers sont devenus moins déterminés, cependant ; cela signifie simplement qu’ils ont dû travailler plus intelligemment. De l’espionnage de l’infrastructure des entreprises et l’envoi d’e-mails aux employés depuis l’adresse du patron, à l’enlèvement des comptes Facebook des utilisateurs et l’envoi de messages à leurs amis, l’abus de confiance est la méthode de choix pour le piratage de nos jours.

Une méthode qu’ils ont dans leur manche est de rediriger votre ordinateur d’une URL légitime vers une copie fausse où ils peuvent acquérir des identifiants de connexion lorsque vous entrez vos informations sur le faux site. Cela s’appelle le « pharming », et cela peut être assez effrayant dans ses méthodes. Ici, nous allons expliquer ce qu’est le pharming et comment cela fonctionne ?

Qu’est-ce que le pharming ?

En soi, le pharming est un processus en deux étapes qui combine deux vecteurs d’attaque : l’empoisonnement DNS et le phishing. En utilisant les forces des deux, il crée un piège hautement crédible dans lequel les gens peuvent tomber. Alors que le phishing fonctionne en lançant un appât et en espérant que les gens le prennent, le pharming peut prendre le contrôle de serveurs DNS entiers et rediriger les gens vers de faux sites Web.

Donc, pour répondre à la question « qu’est-ce que le pharming ? », nous devons d’abord analyser les deux composants sur lesquels il est construit et voir comment ils interagissent les uns avec les autres pour former l’attaque pharming globale.

Empoisonnement DNS

Vous pouvez dire à quel point ce vecteur d’attaque est néfaste rien qu’à son nom ! L’empoisonnement DNS fonctionne en détournant une recherche DNS. Lorsque vous entrez une adresse Web (comme www.facebook.com), l’ordinateur doit la convertir en une adresse IP. C’est parce que les ordinateurs ne comprennent pas ce qu’est « Facebook » ! Les URL sont là pour nous faciliter la tâche à nous, humains, pour nous souvenir des adresses des sites Web. Les ordinateurs, cependant, savent ce qu’est une adresse IP. Donc, pour parler à Facebook, un ordinateur convertit l’URL en une adresse IP.

Ils font cela en interrogeant un serveur DNS, qui agit comme un annuaire pour les URL et les adresses IP. Ils utilisent le serveur DNS pour trouver l’adresse IP de l’URL (www.facebook.com -> 157.240.1.35), puis l’utilisent pour communiquer avec les serveurs Facebook. Lorsqu’un ordinateur a découvert l’adresse IP d’une URL, il peut la noter dans un cache. Cela permet d’éviter de perdre du temps à rechercher la même adresse IP encore et encore. Dans cet exemple, il notera que www.facebook.com va à 157.240.1.35 dans son cache.

L’empoisonnement DNS fonctionne de deux manières : soit en accédant à un cache sur un PC individuel et en changeant les adresses IP pour diriger vers des sites Web malveillants, soit en infectant les serveurs DNS eux-mêmes afin que les PC effectuant la recherche obtiennent un résultat « infecté ». Dans les deux cas, la prochaine fois que l’utilisateur tape « www.facebook.com » dans son navigateur, il finit par charger l’adresse IP « empoisonnée » fausse à la place.

Phishing

L’empoisonnement DNS permet à un attaquant de diriger les utilisateurs d’un site légitime vers un site malveillant même si l’utilisateur a correctement tapé l’adresse. Cependant, ce n’est que la première étape ; après tout, simplement diriger l’utilisateur vers un autre site Web ne fait pas grand-chose ! En combinaison avec l’empoisonnement, les hackers peuvent utiliser le phishing pour transformer une simple redirection en un gain.

Dans notre exemple, l’attaquant redirige l’utilisateur loin de Facebook vers un site Web de son choix. Il existe de nombreuses options que l’attaquant peut choisir, mais dans une attaque pharming, l’attaquant choisira un site Web qu’il a précédemment configuré pour ressembler à Facebook. Lorsque l’utilisateur tape www.facebook.com dans son navigateur, l’empoisonnement DNS le redirige vers le faux Facebook de l’attaquant.

Maintenant que l’utilisateur est sur le faux site, celui-ci lui demandera ensuite ses identifiants de connexion Facebook. Croyant qu’il est sur le vrai site Facebook, l’utilisateur entre ses identifiants et transmet ses informations aux hackers, complétant ainsi l’attaque pharming.

Que peut-on faire ?

Tout d’abord, il est utile de savoir que les serveurs DNS sont généralement détenus par le FAI que vous utilisez. Ainsi, pour éviter les attaques pharming contre les serveurs DNS, assurez-vous de choisir un FAI fiable. De bons FAI seront au courant du pharming et auront des contre-mesures pour protéger leurs serveurs contre l’empoisonnement.

Mais quelle est la faiblesse du pharming en ce qui concerne l’infection des fichiers de votre propre ordinateur ? Tout d’abord, assurez-vous toujours d’avoir une bonne solution antivirus ou anti-malware installée. Celles-ci devraient pouvoir détecter une modification du fichier de cache d’adresses de votre ordinateur et vous alerter avant qu’un dommage ne soit causé.

Même sans antivirus, cependant, vous pouvez arrêter une attaque pharming en utilisant votre bon sens. Lorsque vous accédez à un site Web populaire ou sécurisé, comme les réseaux sociaux ou les sites bancaires, vous verrez un cadenas dans la barre d’adresse et « HTTPS » au début de l’URL. Cela signifie que le site Web a été validé par une tierce partie autorisée pour être ce qu’il prétend être. Ainsi, il a reçu un certificat, et ses communications ont été cryptées.

Bien sûr, si une attaque pharming vous a redirigé vers un site contrefait, ce site ne devrait pas avoir de certificat l’identifiant comme authentique. Même si l’URL semble identique à la vraie, l’absence de certificat est un indice évident. Lorsque vous vous connectez à un site populaire, assurez-vous que le certificat HTTPS est présent. Si vous remarquez que le certificat a soudainement « disparu », quelque chose pourrait être suspect !

Tromper le pharming

Avec plusieurs étapes pour créer un vecteur d’attaque complexe, le pharming peut être un peu effrayant. Maintenant que vous connaissez les détails de ce qu’est le pharming et comment cela fonctionne. Encore mieux, si vous êtes vigilant et utilisez un FAI sécurisé, vous n’aurez peut-être pas à vous inquiéter de devenir victime du pharming.

Avez-vous ou quelqu’un que vous connaissez déjà été trompé par un site Web ayant l’apparence réaliste ? Faites-le nous savoir ci-dessous.