Pharming lenkt den Namensaufruf einer vertrauenswürdigen Adresse auf ein System des Angreifers um, oft ohne dass die sichtbare Adresse falsch aussieht.
Der Nutzer gibt Zugangsdaten auf einer Seite ein, die er für die echte hält.
Der Angriff sitzt in der Namensauflösung oder in der lokalen Zuordnung, nicht nur im Text einer Mail.
Pharming-Methoden
Die Methoden verfälschen entweder die Antwort des Namensdienstes oder die lokale Datei, die Namen vor dem Namensdienst auflöst.
Beide führen dazu, dass der Browser die richtige Zeichenfolge zeigt und trotzdem den falschen Host öffnet.
Die Abwehr muss deshalb die Auflösung schützen und nicht nur die Schreibweise von Links prüfen.
DNS-Manipulation
DNS-Manipulation liefert einem anfragenden Rechner eine falsche Adresse für einen echten Namen.
Das kann am Resolver, an einem zwischengespeicherten Eintrag oder an einem übernommenen Namensserver der Zieldomäne geschehen.
Nutzer sehen das Zertifikat und die Adresse, und eine Abweichung dort ist der praktische Hinweis, die Eingabe abzubrechen.
Host-Datei-Modifikation
Die Host-Datei auf dem Gerät ordnet Namen lokal zu und wird vor der gewöhnlichen Namenssuche gelesen.
Schadsoftware trägt dort die Adresse des Angreifers für eine Bank oder einen Dienst ein.
Schutz ist ein System, das Änderungen an dieser Datei bemerkt, und ein Gerät, auf dem unbekannte Programme keine Systemdateien schreiben dürfen.
Auswirkungen von Pharming
Die Auswirkungen sind abgegriffene Zugangsdaten, umgeleitete Zahlungen und ein Vertrauensverlust, der den echten Dienst trifft, obwohl dessen Server nie kompromittiert wurde.
Betroffene bemerken den Angriff oft erst an einer fremden Buchung.
Der echte Betreiber muss erklären, dass die Adresse stimmte und trotzdem der falsche Host antwortete.
Identitätsdiebstahl
Identitätsdiebstahl folgt, wenn auf der nachgebauten Seite Zugangsdaten, Einmalcodes oder persönliche Angaben eingegeben werden.
Der Angreifer nutzt sie sofort, solange der zweite Faktor noch gilt.
Dienste sollten ungewöhnliche Anmeldungen trotzdem prüfen, weil das Opfer die echte Adresse gesehen hat und keinen Phishing-Link anklicken musste.
Rufschädigung
Der Ruf des echten Dienstes leidet, weil Kunden den Betrug mit der Marke verbinden, deren Namen sie aufgerufen haben.
Richtigstellung gelingt nur, wenn der Betreiber den Auflösungsweg erklärt und betroffene Konten eingrenzt.
Schweigen verstärkt den Eindruck, der eigene Dienst sei unsicher gewesen.
Pharming verhindern
Verhindern heißt, Namensauflösung und lokale Zuordnung gegen Veränderung zu schützen und Zertifikatswarnungen ernst zu nehmen.
Nutzer brechen ab, wenn das Zertifikat nicht zum gewohnten Dienst passt.
Betreiber überwachen ihre Namenseinträge und halten administrative Zugänge zum DNS eng.
Technische Maßnahmen
Technische Maßnahmen sind geschützte Resolver, die Antworten prüfen, Überwachung der eigenen Namenseinträge, Integritätsschutz für die Host-Datei und das Erzwingen gültiger Zertifikate.
Administrative Konten für DNS bekommen einen zweiten Faktor und enge Rechte.
Eine Warnung des Browsers vor dem Zertifikat wird nicht über eine Anleitung hinwegklickt, die genau dazu auffordert.
Bildung der Benutzer
Bildung der Benutzer erklärt, dass eine korrekt aussehende Adresse nicht reicht, wenn das System den Namen bereits falsch auflöst, und dass Zertifikatswarnungen ein Abbruchgrund sind.
Sie zeigt, wo man eine verdächtige Anmeldung meldet, statt das Passwort auf der Seite erneut zu versuchen.
Das Wissen ergänzt die technische Kontrolle der Auflösung und ersetzt sie nicht.
Schlussfolgerung
Pharming fälscht die Zuordnung eines echten Namens und nicht nur den Link in einer Nachricht.
DNS und Host-Datei sind die beiden praktischen Hebel, Zertifikate das sichtbare Warnzeichen.
Schutz liegt in der Integrität der Auflösung und im Ernstnehmen der Warnung, nicht im Abtippen der Adresse.