Intervju: Pharming-attacker ett växande hot mot Internetanvändare

Vi läser hela tiden om olika typer av attacker över Internet. Pharming är ett sätt att lura användare att lämna ifrån sig användarnamn, lösenord, kontokortsnummer etc. Det är med andra ord en typ av phishing. Pharmingattacker innebär att man blir smittad av en trojan som ändrar ens DNS-inställningar (hosts-filen, routern) så att man hamnar på fel server när man skriver in en adress.

Ponera att du ska till din Internetbank www.banken.se. DNS-servrarna hos bland annat din Internetleverantör talar om för din webbläsare vilket IP-nummer www.banken.se har, och skickar din förfrågan till den servern. Kommunikation över Internet sker alltid mellan IP-nummer – domännamn måste alltid översättas till IP-nummer.

En pharmingattack konfiguerar om din dator till att strunta i DNS-servern och istället bestämma att www.banken.se ska peka till ett annat IP-nummer (en annan webbserver). Den här webbservern kan innehålla en kopia av Internetbankens hemsida, men eftersom det är virustillverkarens server så kommer de över dina inloggningsuppgifter när du försöker logga in.

Jag tog kontakt med säkerhetsexperten Sebastian Zabala på PCM (som har Panda Antivirus) för en intervju:

Är det en väldigt ny metod, hur länge har pharming används av kriminella?

Nej, pharming är inte en ny metod utan har använts i flera år av kriminella och hackers. DNS poisoning och pharming har tidigare mer används i riktade attacker, men nu ser vi att det börjar bli en ”vanlig” arbetsmetod för olika typer av skadlig kod.

Det är i synnerhet effektivt eftersom de vanliga tips & tricks som man har som användare för att upptäcka t.ex. phishing-attacker inte längre gäller (som t.ex. var noga med att kontrollera att det står adress i URL-fältet samt att inte kopiera länken från mailet till webbläsaren, utan skriva in den själv).

För att kontrollera om själva datorn blivit utsatt för en pharming-attack så bör man kolla att ens hosts-fil inte blivit ändrad (många antivirusprogram varnar idag om en applikation försöker ändra i hosts-filen, självklart även Panda).

En annan sak man bör tänka på är att inte ha default lösenordet på sin wifi-router då det cirkulerar attacker idag mot dessa där angriparen kan peka om en giltig webbsida mot dess phishing-motsvarighet.

Riktar sig trojanerna mot enskilda banker eller finns det trojaner som styr om flera olika banker till fejkade sajter?

Både och, det finns en uppsjö av specialiserade banktrojaner som riktar in sig mot en enskild bank, men det är vanligare att bank-trojanerna har en lista över flera olika banker som den har färdiga kapningsfunktioner för.

Finns det några trojaner som styr om svenska bankers webbsajter?

Mig veterligen så finns det inga ”officiella” fall med pharming-försök mot svenska banker. Pharming och phishing blir också allt mindre effektivt mot de svenska internetbankssystemen eftersom de flesta övergivit de gamla inloggningsmodellen med skrapkodssystem och gått över till kod-dosor osv.

En mer effektiv attack mot dessa system är ju istället en trojan som interagerar direkt med webbläsaren och manipulerar den i realtid istället, en s.k. man-in-the-browser attack.