Cos'è il Pharming e Come Può Essere Prevenuto?

In quest’epoca, l’utente di computer credulone sta diventando sempre più raro. Con l’educazione al malware diffusa su Internet, le persone non vengono più ingannate così facilmente dalle email truffa che affermano di aver vinto milioni di dollari.

Tuttavia, ciò non significa che gli hacker siano diventati meno determinati; significa solo che hanno dovuto lavorare in modo più intelligente. Dallo spionaggio dell’infrastruttura aziendale e l’invio di email ai dipendenti dall’indirizzo del capo, all’abduzione degli account Facebook degli utenti e all’invio di messaggi agli amici, l’abuso di fiducia è il metodo preferito per hackerare al giorno d’oggi.

Un metodo che hanno nel loro arsenale è quello di reindirizzare il tuo computer da un URL legittimo a una copia falsa di esso, dove possono acquisire i dettagli di accesso quando inserisci le tue informazioni nel sito falso. Questo è noto come “pharming”, e può essere piuttosto spaventoso nei suoi metodi. Qui spiegheremo cos’è il pharming e come funziona?

Cos’è il Pharming?

Di per sé, il pharming è un processo in due fasi che combina due vettori di attacco: il poisoning DNS e il phishing. Sfruttando i punti di forza di entrambi, crea una trappola altamente credibile in cui le persone possono cadere. Mentre il phishing funziona lasciando un’esca e sperando che le persone la prendano, il pharming può prendere il controllo di interi server DNS e reindirizzare le persone a siti web falsi.

Quindi, per rispondere a “cos’è il pharming?” dobbiamo prima analizzare i due componenti su cui si basa e vedere come interagiscono tra loro per formare l’attacco complessivo di pharming.

Poisoning DNS

Puoi capire quanto sia nefasta questa vettore di attacco solo dal nome! Il poisoning DNS funziona dirottando una ricerca DNS. Quando inserisci un indirizzo web (come www.facebook.com), il computer deve convertirlo in un indirizzo IP. Questo perché i computer non capiscono cosa sia “Facebook”! Gli URL servono a rendere più facile per noi umani ricordare gli indirizzi dei siti web. I computer, tuttavia, sanno cos’è un indirizzo IP. Quindi, per comunicare con Facebook, un computer converte l’URL in un indirizzo IP.

Fanno questo interrogando un server DNS, che funge da rubrica per URL e indirizzi IP. Usano il server DNS per trovare l’indirizzo IP dell’URL (www.facebook.com -> 157.240.1.35), e poi lo usano per comunicare con i server di Facebook. Quando un computer ha scoperto l’indirizzo IP di un URL, può annotare l’indirizzo in una cache. Questo serve a evitare di perdere tempo a cercare lo stesso indirizzo IP più e più volte. In questo esempio annoterà che www.facebook.com corrisponde a 157.240.1.35 nella sua cache.

Il poisoning DNS funziona in due modi: o entrando in una cache su un PC individuale e cambiando gli indirizzi IP per reindirizzare a siti web dannosi, o infettando i server DNS stessi in modo che i PC che eseguono la ricerca ottengano un risultato “infetto”. In entrambi i casi, la prossima volta che l’utente digita “www.facebook.com” nel proprio browser, si ritrova a caricare l’indirizzo IP falso “avvelenato”.

Phishing

Il poisoning DNS consente a un attaccante di reindirizzare gli utenti da un sito legittimo a uno malevolo anche se l’utente ha digitato correttamente l’indirizzo. Tuttavia, questo è solo il primo passo; dopotutto, semplicemente reindirizzare l’utente a un sito diverso non fa molto! In combinazione con il poisoning, gli hacker possono utilizzare il phishing per trasformare un semplice reindirizzamento in un guadagno.

Nel nostro esempio, l’attaccante sta reindirizzando l’utente lontano da Facebook a un sito web scelto dall’attaccante. Ci sono molte opzioni che l’attaccante può scegliere, ma in un attacco di pharming l’attaccante sceglierà un sito web che ha precedentemente impostato per sembrare identico a Facebook. Quando l’utente digita www.facebook.com nel proprio browser, il poisoning DNS lo reindirizza al falso Facebook dell’hacker.

Ora che l’utente è sul sito falso, verrà quindi invitato a fornire le proprie credenziali di accesso a Facebook. Credendo di essere sul vero sito di Facebook, l’utente inserisce i propri dettagli di accesso e trasmette le proprie informazioni agli hacker, completando l’attacco di pharming.

Cosa Si Può Fare

Innanzitutto, è utile sapere che i server DNS sono solitamente di proprietà del provider di servizi Internet (ISP) che utilizzi. Pertanto, per evitare attacchi di pharming contro i server DNS, assicurati di scegliere un ISP affidabile. Buoni ISP conosceranno il pharming e avranno contromisure per proteggere i loro server dall’essere avvelenati.

Ma qual è la debolezza del pharming quando si tratta di infettare i file del tuo computer? Prima di tutto, assicurati sempre di avere una buona soluzione antivirus o anti-malware installata. Queste dovrebbero essere in grado di rilevare una modifica al file di cache degli indirizzi del tuo computer e avvisarti prima che venga causato alcun danno.

Anche senza antivirus, tuttavia, puoi fermare un attacco di pharming usando il tuo ingegno. Quando accedi a un sito web popolare o sicuro, come i social media o i siti bancari, vedrai un lucchetto nella barra degli indirizzi e “HTTPS” all’inizio dell’URL. Questo significa che il sito web è stato convalidato da una terza parte autorevole per essere ciò che afferma di essere. Pertanto, gli è stato conferito un certificato e le sue comunicazioni sono state crittografate.

Naturalmente, se un attacco di pharming ti ha reindirizzato a un sito spoof, quel sito non dovrebbe avere un certificato che lo identifichi come autentico. Anche se l’URL sembra identico a quello reale, la mancanza di un certificato è un chiaro segnale di avvertimento. Quando accedi a un sito popolare, assicurati che il certificato HTTPS sia presente. Se hai notato che il certificato è improvvisamente “scomparso”, potrebbe esserci qualcosa di strano!

Ingannare il Pharming

Con più passaggi per creare un intricato vettore di attacco, il pharming può essere un po’ spaventoso. Ora conosci i dettagli di cosa sia il pharming e come funzioni. Ancora meglio, se sei sveglio e usi un ISP sicuro, potresti non dover preoccuparti di diventare vittima del pharming.

Tu o qualcuno che conosci siete mai stati ingannati da un sito web dall’aspetto realistico? Facci sapere qui sotto.