Qu'est-ce que le pharming ?
Le pharming est un type de cyberattaque qui consiste à rediriger le trafic web d'un site légitime vers un faux site dans le but de voler des noms d'utilisateur, des mots de passe, des données financières et d'autres informations personnelles.
Lorsque vous tapez une URL dans la barre d'adresse de votre navigateur, comme www.google.com par exemple, plusieurs processus en arrière-plan doivent se dérouler avant que vous ne voyiez le logo Google familier et la boîte de recherche sur l'écran de votre ordinateur. Lors d'une attaque par pharming, les cybercriminels manipulent discrètement ces processus, envoyant votre trafic web vers un site malveillant au lieu de celui que vous aviez l'intention de visiter. Le site de destination peut charger des malwares sur votre ordinateur. Le plus souvent, il s'agit d'un faux site d'hameçonnage. C'est cette dernière activité qui donne son nom au pharming, un mélange des mots "phishing" (hameçonnage) et "farming" (agriculture).
Un site d'hameçonnage typique est usurpé ou falsifié pour ressembler à un site que la victime visite régulièrement, souvent de nature financière ou de commerce électronique. L'objectif d'un site de phishing est de récolter ou d'exploiter les noms d'utilisateur et les mots de passe lorsque la victime sans méfiance tente de se connecter à son compte.
Le pharming est une forme sophistiquée d'attaque par hameçonnage qui peut toucher n'importe qui sur n'importe quelle plateforme. Windows et Mac ainsi que les utilisateurs mobiles sur Android et iOS doivent tous se méfier des attaques potentielles de pharming. Heureusement, il existe quelques mesures de bon sens que vous pouvez prendre pour vous protéger contre le pharming, alors continuez à lire pour apprendre tout ce que vous devez savoir sur le pharming.
Comment fonctionne le pharming ?
Pour comprendre le fonctionnement du pharming, il faut commencer par une brève introduction sur les noms de domaine et les adresses IP. Les noms de domaine et les adresses IP sont, pour les sites web, ce que votre nom et votre adresse sont pour le bon vieux courrier postal.
Si vous adressez une lettre à "Nancy Thompson", par exemple, en n'inscrivant rien d'autre que son nom sur l'enveloppe timbrée, Nancy ne recevra pas votre lettre. Le bureau de poste a besoin de son nom et de son adresse, par exemple "Nancy Thompson, 1428 Elm Street, Springwood, Ohio", pour distribuer votre lettre avec succès.
De même, l'adresse IP (abréviation de Internet protocol address) sert d'emplacement sous-jacent au nom de domaine que vous souhaitez contacter. Lorsque vous saisissez "www.facebook.com" dans la barre d'adresse de votre navigateur, votre demande est envoyée à un serveur DNS. Le serveur DNS est un ordinateur dont la tâche consiste à traduire les noms de domaine en adresse IP. Pour le type de protocole Internet le plus courant, IPv4, cette adresse sera composée de quatre chiffres séparés par des points : "0.0.0.0". Dans le cas de Facebook, l'adresse IP ressemblera à "66.220.159.255", bien que les chiffres réels puissent varier, car les grandes entreprises comme Facebook possèdent de grands blocs d'adresses IP.
Une fois l'adresse IP en main, le serveur DNS communique ces informations à votre ordinateur, qui vous dirige alors vers le site web de Facebook. Ce processus de résolution DNS, depuis le moment où vous appuyez sur la touche retour de la barre d'adresse jusqu'au moment où la page web commence à se charger, se déroule généralement en quelques millisecondes.
Pour en revenir au sujet du pharming, les cybercriminels peuvent manipuler ce système d'adresses en ligne afin de diriger votre demande de "www.facebook.com" vers une autre adresse contrôlée par le criminel. Cela peut se produire de deux manières différentes.
Quels sont les différents types de pharming ?
Il existe deux types de pharming : le pharming malware et le DNS poisoning.
Les malwares de type "pharming " ou " DNS changers/hijackers" infectent l'ordinateur d'une victime et modifient furtivement le fichier hosts de cette dernière. Il est utile de considérer le fichier hosts de votre ordinateur comme un Rolodex de sites web. Comme nous l'avons mentionné, le processus d'envoi d'un nom de domaine à un serveur DNS et la traduction de ce nom de domaine en adresse IP se déroulent généralement si rapidement que la plupart d'entre nous ne les remarquent même pas. "Habituellement" est le mot clé. Pour éviter tout blocage lors du chargement d'une page, votre ordinateur enregistre les traductions des noms de domaine en adresses IP, ce qui réduit le temps de chargement de chaque site web. Dans le cas d'une attaque de type "pharming" basée sur un logiciel malveillant, ce dernier s'introduit subrepticement dans votre ordinateur (souvent par l'intermédiaire d'un cheval de Troie) et commence à modifier votre fichier "hosts" de manière à ce que le nom de domaine d'un site web donné pointe vers un site malveillant. Certains malwares de pharming, comme le cheval de Troie Extenbro, bloquent également l'accès aux sites de cybersécurité, empêchant ainsi les victimes de télécharger un logiciel pour supprimer le modificateur de DNS.
L'empoisonnement DNS (ou DNS spoofing) exploite les failles des logiciels qui contrôlent les serveurs DNS afin de les détourner et de réacheminer le trafic web. Généralement, l'empoisonnement DNS s'en prend aux entreprises qui gèrent et entretiennent les serveurs DNS qui traduisent les noms de domaine conviviaux en adresses IP exploitables par les ordinateurs. En tant que tel, l'empoisonnement DNS a une base beaucoup plus large de victimes potentielles, qui se comptent par dizaines de milliers. Cela dit, le routeur Internet de votre domicile dispose d'un cache DNS qui stocke les recherches DNS précédentes. Tout appareil connecté à votre réseau domestique peut se référer à ce cache lorsqu'il tente de se connecter à un site web que vous ou une autre personne de votre réseau avez déjà visité. Votre routeur fonctionne, en quelque sorte, comme un serveur DNS à petite échelle et il peut lui aussi être empoisonné.
Comment se protéger contre le pharming
Créez un mot de passe fort pour votre Internet domestique. Et n'utilisez surtout pas le mot de passe par défaut inscrit sous votre routeur. Voici comment protéger votre réseau domestique contre l'empoisonnement du DNS local. Si vous avez du mal à vous souvenir de votre mot de passe, envisagez plutôt d'utiliser une phrase de passe. Une phrase de passe est une chaîne de mots sans signification qui est facile à mémoriser pour un être humain, mais presque impossible à forcer à l'aide d'une application de craquage de mots de passe. Contrairement à un mot de passe long et fort, il n'y a pas de mélange de majuscules et de minuscules ni de symboles spéciaux. Par exemple, (ne l'utilisez pas comme phrase de passe) "pensivepurplecathighheelshoes" ferait une excellente phrase de passe. Il vous suffit d'imaginer un chat violet portant des talons hauts et ayant un air pensif sur le visage.
Utilisez un gestionnaire de mots de passe. Plus précisément, vous avez besoin d'un gestionnaire de mots de passe qui propose de remplir automatiquement les champs du nom d'utilisateur et du mot de passe lorsqu'il détecte une page de connexion que vous avez déjà visitée. Un site d'hameçonnage usurpé peut passer pour un vrai site après une inspection superficielle, mais un gestionnaire de mots de passe ne peut pas être trompé aussi facilement. Si vous tombez sur un mauvais site, le gestionnaire de mots de passe ne le reconnaîtra pas et ne vous proposera pas de remplir automatiquement vos identifiants de connexion.
Utilisez un bon programme anti-malware. Le phishing n'est pas un type de virus informatique et les formes traditionnelles d'antivirus ne peuvent pas le protéger. En revanche, les programmes anti-programmes malveillants avancés peuvent bloquer activement les programmes malveillants qui tentent de pirater le fichier hosts de votre ordinateur. Malwarebytes Par exemple, le site Web de l'Agence européenne pour la sécurité des réseaux et de l'information (ESA) propose des programmes pour Windows, Mac, Chromebook, Android, et iOS qui empêchent les logiciels publicitaires, les logiciels espions et les chevaux de Troie de jouer avec votre fichier hosts. Malwarebytes bloquera également les sites web suspects sur lesquels vous pourriez tomber à cause d'un DNS empoisonné.
Envisagez d'utiliser un autre service DNS. Si les consommateurs peuvent utiliser un programme de cybersécurité pour bloquer le pharming basé sur des malwares et les sites web malveillants à partir d'un DNS empoisonné, , ils ne peuvent pas vraiment faire quoi que ce soit pour empêcher l'empoisonnement du DNS de se produire en premier lieu. C'est aux entreprises qui offrent les services DNS qu'il incombe de veiller à la sécurité de leurs serveurs. Pour la plupart des gens, le service DNS par défaut est celui proposé par votre fournisseur d' accès à Internet (FAI), ce qui est probablement une bonne chose, mais il existe d'autres alternatives populaires, à savoir Google DNS, OpenDNS et Cloudflare. Ces trois sociétés affirment que leurs services DNS offrent une meilleure sécurité et privacy qu'un DNS traditionnel. OpenDNS propose également des serveurs spéciaux destinés aux familles qui souhaitent bloquer les contenus pour adultes.
