Pharming
aus Wikipedia, der freien Enzyklopädie
Pharming ist eine Betrugsmethode, die durch das Internet verbreitet wird. Sie basiert auf einer Manipulation der DNS-Anfragen von Webbrowsern (beispielsweise durch DNS-Spoofing), um den Benutzer auf gefälschte Webseiten umzuleiten. Es ist eine Weiterentwicklung des klassischen Phishings. Der Begriff "Pharming" rührt von dem Umstand her, dass die Pharming-Betrüger eigene große Server-Farmen unterhalten, auf denen gefälschte Webseiten abgelegt sind.
Inhaltsverzeichnis |
[Bearbeiten] Verfahren
Pharming hat sich als Oberbegriff für verschiedene Arten von DNS-Angriffen etabliert. Eine Methode dabei ist die lokale Manipulation der Host-Datei. Dabei wird unter Zuhilfenahme eines Trojanischen Pferdes oder eines Virus eine gezielte Manipulation des Systems vorgenommen mit der Konsequenz, dass von diesem System nur noch gefälschte Websites abrufbar sind, selbst wenn die Adresse korrekt eingegeben wurde.
[Bearbeiten] Technischer Hintergrund
Um eine alphanumerische URL (Internetadresse) in eine IP-Adresse aufzulösen, kontaktiert das Betriebssystem normalerweise einen DNS-Server. Allerdings besitzt jedes Betriebssystem hierfür auch eine interne Liste, z.B. die Datei 'hosts'. Bevor ein DNS-Server kontaktiert wird, schaut das Betriebssystem zuerst in die hosts-Datei, ob hier der Name (bzw. die Internetadresse) schon gelistet ist. Falls ja, erübrigt sich die Kontaktierung des DNS-Servers.
Beim Pharming wird durch korrumpierte DNS-Server, durch DNS-Flooding (einem Rechner wird "auf Verdacht" eine Adressauflösung suggeriert, noch bevor er diese beim echten DNS-Server abgefragt hat) oder am einfachsten durch Malware manipulierte Adressen in der lokalen hosts-Datei des Betriebssystems der Aufruf einer Webseite von Banken u. ä. auf einen anderen Server umgeleitet.
Somit gelangt der Benutzer trotz korrekter URL auf die falsche Seite, ohne es zu merken.
Diese Methode erreicht ebenso wie das Phishing trotz der üblichen Versendung des Trojaners mit Massenmails nur eine begrenzte Anzahl von Personen.
Ziel dieser Aktionen ist in der Regel, Kreditkartendaten oder ähnliche sicherheitsrelevante oder vertrauliche Informationen (z. B. von Onlineberatungen) zu stehlen.
Gerade bei gezielten Angriffen auf einzelne Personen wird diese Form auch von illegal arbeitenden Auskunfteien eingesetzt. Diese erstellen komplexe Profile über die jeweilige Zielperson. Auftraggeber nutzen die gewonnenen Informationen bei Risikoabschätzungen für Versicherungen, Stellenbesetzungen, Kreditvergaben u. a.
[Bearbeiten] Möglichkeiten, Pharming zu entdecken
Da Pharming-Angriffe meist auf nahe am Client liegende DNS-Caches bzw. einzelne Hosts erfolgen, hilft es, DNS-Server aus unterschiedlichen Netzen zu befragen. Wenn die Antwort übereinstimmt, ist es sehr wahrscheinlich, dass kein Pharming-Angriff vorliegt.
Weiters kann durch eine Abfrage der IP in einer Whois-Datenbank sowohl der Standort, als auch eine Beschreibung des Anbieters und der Blacklist-Status bestimmt werden.
Werden über das Web Einkäufe getätigt oder Bankgeschäfte verrichtet, dann muss die Seite "sicher" sein, die Adresse muss also mit https:// beginnen. Werden Daten mittels https übertragen, so muss sich der Server authentisieren, wobei ein Zertifikat ausgetauscht wird. Wer das Zertifikat herausgegeben hat, bzw. ob der Herausgeber vertrauenswürdig ist, lässt sich aus dem Zertifikat entnehmen.
Um sicherzugehen, dass die einzugebenden Daten an den echten Server gesendet werden, sollte das Zertifikat, das im Browser zu sehen ist, auf einem zweiten Informationskanal (E-Mail oder Telefon) angefordert und mit dem des Servers verglichen werden. Da diese Zertifikate aber lange Buchstaben- und Zahlenkolonnen sind, werden aus praktischen Gründen sogenannte Fingerprints der Zertifikate miteinander verglichen. Hierbei wird der MD5 bzw. der SHA1-Algorithmus angewendet.
Generell sollte auf dem PC ein Virenscanner installiert sein, auch Bankingprogramme wie Moneyplex, WISO, T-Online (kostenlos) usw. bieten Schutz vor Pharming/Phishing.
