Definición
Es un ataque que intenta manipular la resolución de nombres de dominios previamente seleccionados por un atacante, así, para cuando dicho ataque llegase a tener éxito, la victima al intentar ingresar a las páginas Web de los dominios previamente comprometidos, realmente estarían ingresando a una página Web clonada y preparada con antelación por el atacante.
La intensión del ataque radica en capturar datos con un significado crítico para las victimas, tales como información de sus cuentas bancarias, cuentas de correo, etc.
Elementos involucrados en un ataque de Pharming
- Atacante
- Victima ó grupo de victimas
- Definición del método para la perpetración del ataque
- Página Web clonada para consumar el ataque
· Elementos de carácter opcional según sea el método del ataque
- Computadora de la victima
- Servidor DNS configurado en el computador de la victima
- Router ADSL instalado en el local de la victima, con DHCP activado
- Servidor DNS montado por el atacante
- Servidor DHCP de una organización
Métodos disponibles para el ataque
Para tener éxito se deben considerar los siguientes aspectos:
- El sistema operativo ó cualquier software instalado en el computador de la victima, deberá estar expuesto a una vulnerabilidad sin el respetivo parche.
- Ser victima de un engaño, con la finalidad de modificar la configuración del computador.
Características
- Puede ser manual ó automatizado para aumentar la probabilidad de mayor captación de victimas.
- El software instalado en el servidor DNS o DHCP, que usa la victima, deberá estar expuesto a una vulnerabilidad sin el respetivo parche.
- El router ADSL con contraseñas por defecto y/o firware del equipo expuesto a una vulnerabilidad sin el respetivo parche.
Secuencia de un ataque de Pharming
Mitos y desinformaciones
No, el pharming es un ataque, más evolucionado, que esta orientado específicamente a modificar la resolución de nombres de ciertos dominios, mientras que un troyano es un programa que se instala en la computadora y disfraza su ataque con una supuesta utilidad secundaria que sirve de fachada frente al usuario.
El origen de esta interrogación podría radicar en la similitud del contagió de un troyano, cuando el método usado para el ataque de pharming es a través de un programa enviado al usuario por cualquier medio, pero, a diferencia del troyano este programa en si no envía la información y su ciclo de vida concluye cuando altera registros de resolución de nombres de la computadora del usuario, mientras que un troyano sigue enviando información de manera indefinida hasta que sea detectado.
Será detectado siempre y cuando el método del ataque involucre la ejecución de un programa en el computador de la victima, y dicho programa tenga en su código un patrón que alerte al antivirus de un eventual ataque.
Un firewall de filtrado de paquetes, vale decir, que sus políticas de seguridad están basadas en direcciones IPs y puertos de servicio TCP/UDP, no puede detectar este tipo de ataques de manera inteligente a menos que se establezca explícitamente una regla con tal finalidad, tal vez, bloqueando la IP de página clonada, pero, entendamos que sería una detección a posteriori.
El Firewall de Windows no detecta este tipo de ataques.
Los IDS son elementos pasivos, es decir, así llegarán a detectar el ataque solamente procedería a detectar y registrar mas no prevenir el ataque.
Prevendría el ataque siempre y cuando en sus firmas detecten la actividad maliciosa del ataque, también aplica para cuando el método del ataque se lleva a cabo a través de un gusano o troyano.
Para comprometer se hecha mano de una vulnerabilidad que afecte la seguridad del servidor DNS o equipo del cliente (otro mas) y según sea el caso se modifique los registros que relacionan un dominio con un numero IP.
Recomendaciones para prevenir el Pharming
Departamento Especializado en Seguridad - Internet
TELMEX PERÚ S.A.
