Definition Pharming Was ist Pharming?

Pharming ist eine Internetbetrugsmethode, bei der Cyberkriminelle DNS-Informationen manipulieren, um Benutzer trotz Verwendung einer korrekten URL unbemerkt auf gefälschte Webseiten umzuleiten. Über diese Webseiten stehlen sie dann vertrauliche Benutzerinformationen wie Login-Daten oder Kreditkarteninformationen.

Das Wort Pharming ist ein aus den beiden englischen Wörtern "Phishing" und "Farming" verschmolzenes Kofferwort. Es bezeichnet eine Internetbetrugsmethode, die Benutzer mithilfe von manipulierten DNS-Informationen auf gefälschte Websites umleitet. Obwohl der Benutzer eine korrekte URL aufruft, wird er durch die manipulierte IP-Adressauflösung auf eine gefälschte, bösartige Webseite umgeleitet. Diese Webseite ist der Originalseite täuschend echt nachempfunden. Die Angreifer stehlen die dort vom Benutzer eingegeben persönlichen oder vertraulichen Informationen wie Login-Daten oder Kreditkarteninformationen und missbrauchen sie anschließend für ihre kriminellen Aktivitäten. Ein Anwender gibt beispielsweise die Internetadresse seines Bankinstituts ein, wird aber aufgrund eines Pharming-Angriffs auf eine gefälschte Internetseite weitergeleitet. Die dort vom Nutzer eingegebenen Zugangsdaten verwenden die Angreifer für ihre Zwecke.

Im Gegensatz zum Phishing ist es beim Pharming nicht notwendig, dass die Nutzer einen manipulierten Link anklicken, den sie beispielsweise in einer E-Mail erhalten haben. Die Cyberbetrugsmethode manipuliert die Adressauflösung entweder über das Domain Name System (DNS) oder kompromittiert das Endgerät des Opfers, um dort DNS-Informationen oder DNS-Konfigurationen zu manipulieren.

DNS-Monitoring bringt IT-Sicherheit

DNS-Fehler – Die unterschätzte Gefahr

Welche Arten von Pharming gibt es und wie funktionieren sie?

Pharming zielt darauf ab, Benutzer durch die Manipulation der DNS-Auflösung von Domainnamen in IP-Adressen unbemerkt auf gefälschte Webseiten fremder Server umzuleiten. Diese Manipulation kann auf verschiedene Arten stattfinden. Grundsätzlich ist eine Unterscheidung in hostbasiertes Pharming, teilweise auch als lokales Pharming bezeichnet, und DNS-basiertes Pharming möglich. Für beide Arten des Pharming gibt es jeweils mehrere Unterarten.

Das hostbasierte Pharming zielt auf die Kompromittierung des Endgeräts des Anwenders beziehungsweise der lokalen DNS-Konfiguration oder des lokalen Netzwerks ab. Es wird beispielsweise versucht, über eingeschleuste Malware, die lokale Host-Datei mit den Zuordnungen zwischen Domainnamen und IP-Adressen oder die lokalen DNS-Einstellungen zu verändern. Durch die Veränderung der lokalen Host-Datei wird der Anwender ohne weitere DNS-Auflösung direkt auf gefälschte Webseiten umgeleitet. Auch der lokale Internetzugangsrouter und seine DNS-Konfiguration können Ziel eines Pharming-Angriffs sein. Gelingt es den Angreifern, die DNS-Konfiguration des Endgeräts oder des Routers zu verändern, werden DNS-Anfragen an manipulierte oder bösartige DNS-Server weitergeleitet, die falsche Zuordnungen für eine Weiterleitung auf gefälschte Webseiten ausliefern.

DNS-basiertes Pharming funktioniert über die Manipulation von DNS-Servern oder der zugrundeliegenden DNS-Infrastruktur. Erlangen Angreifer beispielsweise unbefugt Zugriff auf einen DNS-Server oder schleusen sie einen bösartigen DNS-Server in die DNS-Infrastruktur ein, können sie mit deren Hilfe die den Domainnamen zugeordneten IP-Adressen in der von ihnen gewünschten Form verändern. Über solche Rogue-DNS-Server werden die DNS-Anfragen falsch aufgelöst und die Nutzer auf gefälschte Webseiten weitergeleitet.

Eine weitere DNS-basierte Pharming-Angriffsmethode ist das sogenannte DNS-Cache-Poisoning. Bei dieser Methode haben es die Angreifer auf die Caching-Nameserver abgesehen. Sie manipulieren die im DNS-Cache gespeicherten Antworten auf DNS-Anfragen.

Man-in-the-Middle-Angriffe fangen die Kommunikation zwischen einem anfragenden Endgerät und einem DNS-Server ab und liefern manipulierte Antworten aus.

Was haben unsichtbare Agenten und Schnüffler in Dateien zu suchen?

Sniffing- und Man-in-the-Middle-Angriffe erkennen und verhindern

Was sind die Unterschiede zwischen Phishing und Pharming?

Pharming kann als eine Weiterentwicklung des klassischen Phishings betrachtet werden. Beide Internetbetrugsmethoden haben das gleiche Ziel. Die Opfer sollen auf gefälschten Internetseiten vertrauliche Informationen wie Login-Daten eingeben, die die Angreifer dann für ihre kriminellen Zwecke missbrauchen. Wie die beiden Methoden im Detail arbeiten, welche Angriffsvektoren verwendet werden und mit welchen Mitteln die Opfer auf die gefälschten Webseiten weitergeleitet werden, unterscheidet sich aber deutlich.

Phishing basiert häufig auf betrügerischen E-Mails oder anderen Nachrichten, die vorgeben, von vertrauenswürdigen Absendern zu stammen. Die E-Mails oder Nachrichten enthalten gefälschte Links und Aufforderungen an die Opfer, diese anzuklicken. Oft setzen sie den Anwender durch eine entsprechende Dringlichkeit der Nachricht unter Druck. Der Anwender muss aber aktiv diese manipulierten Links anklicken, um auf gefälschten Webseiten weitergeleitet zu werden.

Pharming arbeitet subtiler und benötigt kein aktives Anklicken eines gefälschten Links. Die Opfer werden durch eine DNS-Manipulation ohne ihr Wissen und trotz einer korrekt aufgerufenen Internetadresse auf eine gefälschte Webseite weitergeleitet. Es ist dementsprechend auch keine E-Mail oder Nachricht notwendig, um den Opfern einen gefälschten Link unterzuschieben. Die DNS-Manipulation findet im Hintergrund durch Manipulation des DNS-Systems oder mithilfe von Malware statt. Dadurch ist Pharming für das Opfer deutlich schwerer zu erkennen und zu verhindern.

Diese Tabelle zeigt die wichtigsten Unterschiede zwischen Pharming und Phishing.

Domain-basierten Angriffen begegnen

Checkliste für mehr Domain-Sicherheit

Welche Risiken und Gefahren entstehen durch Pharming?

Pharming ist wie Phishing für die betroffenen Personen oder Unternehmen mit hohem Missbrauchspotenzial und großen Gefahren verbunden. Angreifer können an sensible Informationen wie Benutzernamen und Passwörter (beispielsweise für Shopping-Portale, Unternehmensanwendungen, Online-Banking-Zugänge oder E-Mail-Konten), an Kreditkartennummern, Sozialversicherungsnummern und an andere vertrauliche Informationen gelangen. Diese Informationen lassen sich für kriminelle Aktivitäten wie Identitätsdiebstahl oder Finanzbetrug missbrauchen. Für Unternehmen kann Pharming mit Datenschutzverletzungen, der Preisgabe von Kundendaten oder von Unternehmens­geheimnissen, Rufschädigung, Vertrauensverlust, Manipulation von Unternehmens- oder Produktionsprozessen und mit Nachfolgeangriffen auf die IT-Infrastruktur verbunden sein.

Wie lässt sich Pharming erkennen und was sind mögliche Schutzmaßnahmen?

Da beim Pharming im Gegensatz zum Phishing korrekte URLs aufgerufen werden, ist die Betrugsmethode wesentlich schwerer zu erkennen. Es gibt aber einige Warnzeichen, die auf ein mögliches Pharming hindeuten. Warnzeichen, dass man auf eine gefälschte Webseite umgeleitet wurde, sind beispielsweise:

• ungewöhnlich aussehende Webseiten (zum Beispiel Rechtschreibfehler, ungewöhnliche Eingabe- und Dialogfelder, anderes Layout und Farbschema)

• Anzeige unsicherer Verbindungen

• fehlende oder fehlerhafte SSL-Zertifikate

• ungewöhnliche URLs in der Browserleiste zum Beispiel mit zusätzlichen Subdomains

• plötzlich auftretende Probleme mit Netzwerk- und Internetverbindungen

Phishing-Prävention

Die Tricks der Hacker beim Phishing-Betrug

Hat man auf den gefälschten Webseiten vertrauliche Daten eingegeben, weisen folgende Warnzeichen darauf hin, dass man Opfer eines Pharming-Angriffs geworden ist. Es sind die gleichen Anzeichen wie die eines erfolgreichen Phishing-Angriffs.

• ungewöhnliche Aktivitäten in Online-Accounts

• ungewöhnliche Finanztransaktionen

• Nachrichten über Anmeldungen von fremden Geräten

• Nachrichten über Passwortänderungen

• neue, nicht selbst verfasste Nachrichten oder neue Kontakte in sozialen Netzwerken

Um sich vor Pharming zu schützen, sollten zunächst die üblichen Maßnahmen und Best Practices zum Schutz lokaler Endgeräte, Netzwerke, Netzwerkkomponenten und Server vor Malware ergriffen werden. Dazu zählen Firewalls, aktuelle Antiviren-Software, Spam-Filter, regelmäßiges Aktualisieren und Patchen der Software und Betriebssysteme und anderes. Die DNS-Infrastruktur und korrekte Auflösung von Domainnamen lässt sich absichern, indem beispielsweise DNSSEC (Domain Name System Security Extensions) implementiert und verwendet wird, DNS-Server und -Resolver abgesichert werden, ausschließlich sichere und seriöse DNS-Server verwendet werden oder unbekannte, öffentliche und unverschlüsselte (WLAN-)Netzwerke gemieden werden. Ob Domainnamen tatsächlich richtig aufgelöst sind oder ein Angreifer versucht, eine falsche Namensauflösung unterzuschieben, lässt sich prüfen, indem mehrere unabhängige DNS-Server befragt werden oder die Informationen von Whois-Datenbanken zurate gezogen werden. Auch die Überprüfung der Echtheit der SSL-Zertifikate ist hilfreich.

Zur Absicherung des Missbrauchs von Zugangsdaten durch Pharming ist die Verwendung einer sicheren Zwei-Faktor- oder Multi-Faktor-Authentifizierung (2FA oder MFA) für Online-Konten zu empfehlen.

Passwortlose Authentifizierung

Passkeys statt Passwörter und Phishing

(ID:50539002)