Pharming

Pharming, kullanıcı doğru adresi yazsa ya da kayıtlı yer imini kullansa bile onu sahte bir siteye götüren bir saldırıdır. Klasik oltalamada olduğu gibi kurbanı bir bağlantıyla kandırmak yerine, saldırgan alan adının IP adresine çevrilme sürecine müdahale eder.

Nasıl çalışır

Bir siteyi ziyaret ettiğinizde cihazınız hangi sunucuya bağlanacağını DNS'e sorar. Pharming bu yanıtı farklı noktalarda değiştirir:

• Cihaz düzeyinde: zararlı yazılım, yerel hosts dosyasını ya da DNS ayarlarını değiştirir ve bankanın alan adını saldırganın sunucusuna yönlendirir.
• Modem düzeyinde: zayıf veya fabrika parolası değiştirilmemiş bir ev ya da ofis modemi, kötü amaçlı bir DNS çözümleyiciyi kullanacak şekilde yeniden ayarlanır.
• Çözümleyici düzeyinde: açığı olan bir DNS sunucusu sahte kayıtlarla zehirlenir ve onu kullanan herkes etkilenir.
• Alan adı düzeyinde: saldırgan markanın kayıt firması ya da DNS hizmeti hesabını ele geçirip kayıtları doğrudan değiştirir; buna genellikle DNS hijacking denir.

Sahte site daha sonra tıpkı bir kimlik bilgisi toplama sayfası gibi giriş veya ödeme bilgilerini toplar.

Örnek

Temsilî bir örnek: Küçük bir ofisteki modem hâlâ fabrika parolasını kullanıyor. Saldırgan modemin DNS ayarlarını değiştiriyor ve o andan itibaren ofiste ornekbanka[.]com gibi bir banka adresini yazan herkese, başka bir yerde barındırılan kopya sessizce sunuluyor. Adres çubuğunda beklenen ad görünüyor, ancak tarayıcı sertifikanın bu site için geçerli olmadığı uyarısını veriyor.

Nasıl anlaşılır

• Normalde sorunsuz açılan bir sitede sertifika uyarısı çıkması.
• Tanıdık bir sitenin birden biraz farklı görünmesi ya da alışılmadık bilgiler istemesi.
• Cihaz veya modemde tanımadığınız DNS çözümleyicilerinin ayarlı olması.
• Alan adınızın DNS kayıtlarında ya da ad sunucularında beklenmedik değişiklikler.
• Aynı ağdaki veya bölgedeki çok sayıda müşterinin gerçek adresinizde "sahte site" gördüğünü bildirmesi.

Markalar ne yapabilir

Önce kendi alan adlarınızı koruyun: kayıt firmasında transfer kilidini açık tutun, kayıt firması ve DNS hesaplarında güçlü, benzersiz parolalar ve çok faktörlü doğrulama kullanın, kayıtlardaki değişiklikleri izleyin. DNSSEC, çözümleyicilerin alan adlarınız için sahte yanıtları fark etmesine yardımcı olur. HSTS ile tarayıcıların şifresiz HTTP bağlantısını reddetmesini sağlayın. Müşteriler sahte bir site bildirirse sayfanın gerçekte nerede barındırıldığını bulup o sunucuyu kapattırın. Phishvoid bu tür sayfaların arkasındaki barındırmayı tespit edip bildirmenize yardımcı olabilir; gördüklerinizi bizimle paylaşın.

Devamını okuyun: Sahte Site Nasıl Anlaşılır? 10 Uyarı İşareti