Imaginez : vous entrez l’adresse web de votre banque dans votre navigateur et utilisez le site web comme d’habitude, mais vous avez loupé quelque chose d’essentiel. En effet, au lieu d’être sur le site web réel, vous êtes sur un site web contrefait qui a l’air vrai. C’est exactement ce qui se passe lors d’une attaque de pharming : les cybercriminels manipulent secrètement les rouages d’Internet, comme un marionnettiste, pour envoyer les utilisateurs vers des sites web malveillants.
Et le plus dangereux ? Il n’est pas possible de savoir s’il s’agit de pharming avant qu’il ne soit trop tard. Mais heureusement, avec les bonnes connaissances et les mesures de sécurité appropriées, vous pouvez prendre des mesures efficaces pour vous protéger contre cette menace. Un outil de sécurité sur lequel vous pouvez compter tel qu’Avira Free Security offre non seulement une protection en temps réel contre les virus et les malwares, mais aussi une protection contre le phishing pour votre navigateur. Votre sécurité en ligne s’en trouve renforcée et vous pouvez naviguer sur Internet en toute sérénité.
Qu’est-ce que le pharming ?
Le pharming est l’une des techniques d’escroquerie en ligne les plus sournoises, qui consiste à envoyer les utilisateurs vers de faux sites web à leur insu. Pour ce faire, les cybercriminels manipulent les registres DNS (Domain Name System) ou les fichiers hôtes locaux d’un appareil afin de rediriger le trafic.
Le terme « pharming » est une association des mots « phishing » (ou hameçonnage) et « farming » (agriculture). Avec cette méthode combinée, les pirates cherchent à couvrir une surface d’attaque aussi grande que possible.
Qu’est-ce qui rend le pharming si dangereux ?
Contrairement aux méthodes d’attaque plus courantes telles que le phishing, qui nécessitent une tromperie active, le pharming se produit en arrière-plan par la manipulation des systèmes informatiques, ce que les utilisateurs ne remarquent pas dans la plupart des cas.
Ils sont envoyés sur de faux sites web qui paraissent trompeusement authentiques, sur lesquels ils saisissent leurs mots de passe, leurs coordonnées bancaires ou d’autres informations personnelles de ce type.
Vous n’êtes pas en sécurité même si vous saisissez l’adresse correcte du site web dans votre navigateur. C’est parce que le site web lui-même n’a pas été piraté. C’est plutôt l’infrastructure sous-jacente reliant votre navigateur au site web qui a été compromise. Voici pourquoi ces attaques sont si ignobles :
- Discrétion : les attaques de pharming se produisent en arrière-plan, sans que les utilisateurs ne s’en aperçoivent.
- Efficacité : même les utilisateurs les plus avertis sur le plan technique peuvent se faire piéger, car les sites web frauduleux ont souvent une apparence trompeuse.
- Organisation : au lieu d’être un incident aléatoire ou isolé, un système DNS manipulé (qui traduit les adresses web) peut affecter plusieurs utilisateurs en même temps, les envoyant tous vers des sites web contrefaits.
Pharming et phishing : quelle est la différence ?
Les objectifs du phishing et du pharming sont similaires, mais ils diffèrent fondamentalement dans leur approche :
| Phishing | Pharming |
| Utilise de faux messages ou e-mails pour manipuler les utilisateurs et les inciter à agir. | Manipule les systèmes techniques tels que les registres DNS ou les fichiers hôtes. |
| Objectif : encourager les utilisateurs à saisir leurs données. | Objectif : intercepter passivement le trafic de données. |
| Basé sur des techniques d’ingénierie sociale. | Manipule l’infrastructure du système. |
Le phishing nécessite une interaction active de la part de l’utilisateur, tandis que le pharming se produit en arrière-plan et est difficile à détecter.
Comment fonctionne le pharming ?
Les attaques par pharming impliquent la manipulation des registres Domain Name System (DNS) ou des fichiers hôtes d’un appareil. Le DNS est chargé de traduire les noms de domaine lisibles par l’homme, tels que www.avira.com, en adresses IP correspondantes que les ordinateurs comprennent. Le fichier hôte fonctionne de la même manière que le DNS, mais il est stocké localement sur votre ordinateur.
Lorsque vous saisissez l’adresse d’un site web dans votre navigateur, le serveur DNS la convertit automatiquement. C’est à ce moment précis que les cybercriminels lancent leurs attaques par pharming, en détournant la traduction en leur faveur, comme si une personne s’était égarée en jouant au jeu du téléphone.
Suite à l’intervention frauduleuse du criminel, vous atterrissez sur un site web contrefait conçu pour voler vos données personnelles, telles que les détails de votre compte ou vos mots de passe.
Quels sont les principaux types de pharming ?
Le pharming se présente sous différentes formes, mais on peut généralement classer les attaques en deux catégories principales : le pharming basé sur le DNS et le pharming basé sur l’hôte.
En général, les attaquants utilisent l’une des méthodes suivantes pour atteindre leurs objectifs :
Pharming basé sur le DNS : empoisonnement du cache DNS
On parle d’empoisonnement du cache DNS lorsque des pirates manipulent le cache DNS d’un serveur ou d’un routeur pour vous rediriger vers un faux site web. L’empoisonnement du cache DNS est également connu sous le nom d’usurpation DNS (à ne pas confondre avec l’usurpation d’adresse IP).
En voici le détail : Le serveur DNS affecté stocke les entrées manipulées dans le cache, de sorte que les demandes normales aboutissent à des adresses IP frauduleuses. Vos données sont donc en danger, même si vous prenez soin de votre appareil et qu’il n’est pas infecté par des malwares.
L’aspect sournois de cette méthode est que l’attaque vise le résolveur DNS.
Le résolveur DNS joue le rôle d’intermédiaire. Lorsque vous saisissez une adresse web dans votre navigateur, la demande passe par le résolveur, qui trouve l’adresse IP de ce domaine. Le processus se déroule comme suit :
- Envoi d’une demande : vous saisissez une URL et votre appareil envoie une demande au résolveur DNS pour récupérer l’adresse IP correspondante.
- Requête de cache : le résolveur vérifie d’abord si l’adresse IP est déjà stockée dans le cache (à la suite de demandes antérieures).
- Requête externe : si l’adresse n’est pas dans le cache, le résolveur transmet la demande à d’autres serveurs DNS jusqu’à ce que l’adresse IP soit trouvée.
- Réponse : le résolveur renvoie l’adresse IP à votre appareil pour que la page web puisse se charger.
Ainsi, même si vous saisissez l’URL correcte, le serveur renverra une adresse IP falsifiée à partir du cache, ce qui vous redirigera vers un site web frauduleux sans que vous ne vous en rendiez compte.
Voici d’autres exemples d’attaques basées sur le DNS :
- Compromission du serveur DNS : les cybercriminels obtiennent un accès non autorisé aux serveurs DNS et en prennent le contrôle total. Les escrocs modifient ensuite les paramètres DNS de sorte que les domaines qu’ils choisissent mènent à des adresses IP incorrectes.
- Détournement de DNS : Les attaquants manipulent les paramètres DNS de votre routeur ou des terminaux tels que les ordinateurs, les smartphones ou les tablettes pour rediriger leurs requêtes vers des serveurs DNS frauduleux. Ces serveurs fournissent de fausses adresses IP et redirigent les utilisateurs vers des sites web malveillants.
| Type d’attaque | Niveau d’attaque | Durée de la manipulation | Résultat |
| Empoisonnement du cache DNS | Cache DNS d’un serveur | Temporaire (jusqu’à expiration du cache) | Les utilisateurs individuels sont redirigés alors qu’ils font des demandes tout à fait normales. |
| Compromission du serveur DNS | Serveur DNS lui-même | Permanent (jusqu’à ce que les modifications soient annulées) | Tous les utilisateurs du serveur atterrissent sur de fausses adresses IP. |
| Détournement de DNS | Routeur ou périphérique | Permanent (jusqu’à ce que les paramètres soient corrigés) | Les utilisateurs du réseau sont redirigés vers des serveurs DNS manipulés. |
Pharming basé sur un malware : manipulation du fichier hôte
La manipulation du fichier hôte permet aux attaquants d’exploiter une vulnérabilité dans le fichier hôte local de l’ordinateur qui traduit les noms de domaine directement en adresses IP. Les pirates modifient ce fichier afin de rediriger les sites web légitimes vers des adresses IP frauduleuses.
Qu’est-ce que le fichier hôte ?
Le fichier hôte est un fichier local sur votre ordinateur qui associe directement les noms de domaine aux adresses IP. Il fonctionne de la même manière qu’un système DNS et est utilisé par votre appareil pour trouver des sites web.
Comment fonctionne la manipulation des fichiers hôtes ?
Les pirates modifient le fichier hôte pour rediriger les demandes de sites web authentiques vers des adresses IP frauduleuses. Contrairement à l’usurpation DNS, cette méthode cible directement votre appareil. Les attaquants utilisent souvent des malwares pour ce faire.
Comment les attaquants diffusent-ils les malwares ?
Les malwares tels que les virus informatiques, chevaux de Troie ou enregistreurs de frappe, sont souvent utilisés pour manipuler le fichier hôte. Ces malwares pénètrent généralement dans l’appareil par le biais d’e-mails ou de téléchargements infectés, en apportant des modifications imperceptibles au fichier hôte.
Pourquoi cette méthode est-elle si dangereuse ?
Une fois manipulée, la modification reste active même si vous changez de réseau. Comme les attaques sont effectuées localement sur votre appareil, elles sont indépendantes des serveurs externes et très difficiles à détecter.
Voici comment vous protéger
Vous pouvez détecter et prévenir ces tentatives de manipulation en analysant régulièrement votre système afin de détecter les vulnérabilités et les modifications malveillantes, et en utilisant un logiciel antivirus comme Avira Free Security.
Exemples d’attaques de pharming
Le pharming est une menace réelle, et il y a déjà eu plusieurs cas où il a été utilisé dans des attaques à grande échelle.
- Malware DNSChanger (2007 – 2011) : cette campagne a utilisé des paramètres DNS manipulés pour rediriger des millions d’utilisateurs vers de faux sites web. Une fois sur place, les utilisateurs sont bombardés d’innombrables publicités. Le but : générer des revenus publicitaires et voler des données. Les auteurs n’ont été arrêtés que des années plus tard et ont réussi à dérober 14 millions de dollars. En raison de l’ampleur considérable de l’attaque, les serveurs malveillants n’ont pas pu être simplement fermés. Ils ont dû être remplacés par des serveurs du FBI, à grands frais, afin que les utilisateurs infectés ne soient pas coupés d’Internet.
- Attaque au Brésil (2017) : dans cette attaque de pharming, les pirates ont compromis les serveurs DNS d’une grande banque brésilienne et ont redirigé les clients vers des sites web frauduleux à l’apparence trompeuse. Les attaquants ont eu accès à des données sensibles sur les clients, ce qui a entraîné des millions de dollars de pertes financières. L’attaque a touché les 36 domaines de la banque, démontrant ainsi l’immense danger que représentent les infrastructures DNS manipulées.
- Attaque de pharming au Venezuela (2019) : un faux site web a été créé, ressemblant au site officiel du mouvement Voluntarios por Venezuela (Volontaires pour le Venezuela). C’est ainsi que des informations personnelles ont été volées en masse.
Signes avant-coureurs d’une attaque de pharming
Les attaques par pharming sont difficiles à détecter, car elles se produisent en arrière-plan. Mais il existe des signes d’alerte caractéristiques qu’il convient de surveiller :
- URL suspectes : soyez attentif aux fautes d’orthographe, aux sous-domaines inattendus ou aux caractères spéciaux dans la ligne d’adresse.
- Contenu inhabituel sur un site familier : les changements de présentation, l’absence de logos ou les demandes suspectes de saisie de données personnelles peuvent constituer des indices sérieux.
- E-mails ou SMS non sollicités : les liens contenus dans ces messages peuvent vous conduire à des sites web manipulés.
- Erreur de certificat SSL : si des avertissements concernant des certificats non valides apparaissent soudainement sur un site web de confiance, il peut s’agir d’un signe de pharming.
- Redirections inattendues : si vous êtes redirigé de manière inattendue vers une page différente de celle que vous attendez, il peut s’agir d’une manipulation du DNS.
- Problèmes de réseau : les sites web frauduleux se chargent souvent plus lentement que les sites réels. Des problèmes soudains d’accès à Internet ou des connexions lentes peuvent indiquer que les paramètres DNS ont été manipulés.
- Transactions suspectes : des transactions ou d’autres activités inexpliquées peuvent indiquer que vos identifiants de connexion ont été compromis.
Si vous remarquez de tels signes, déconnectez-vous immédiatement d’Internet et vérifiez vos paramètres DNS.
Pour ce faire, allez dans les paramètres réseau de votre ordinateur ou de votre smartphone et vérifiez s’il y a des entrées inhabituelles sous les serveurs DNS.
Si vous n’êtes pas sûr que ces adresses sont correctes, vous pouvez réinitialiser les paramètres DNS en appuyant sur Obtenir automatiquement, ou entrer des serveurs DNS sécurisés tels que Google DNS (8.8.8.8) ou Cloudflare DNS (1.1.1.1).
Comment se protéger du pharming ?
Vous devez prendre des mesures spécifiques pour vous protéger contre le pharming. Il ne suffit pas d’être prudent, les précautions techniques jouent également un rôle crucial. Lisez la suite pour savoir quelles mesures vous pouvez prendre pour sécuriser vos appareils et modifier votre comportement en ligne. Vous réduirez ainsi considérablement le risque d’être victime d’une attaque de pharming.
Conseils techniques de protection
- Modifiez le mot de passe par défaut de votre routeur et mettez régulièrement à jour son micrologiciel.
- Activez le pare-feu sur vos appareils.
Conseils pratiques
- Ne saisissez jamais d’informations sensibles si le site web vous semble suspect.
- Vérifier que le site web est sécurisé, par exemple en vérifiant la présence de l’icône HTTPS (qui ressemble à un cadenas) dans la barre d’adresse.
- Évitez d’utiliser les points d’accès Wi-Fi publics pour effectuer des opérations bancaires ou des achats en ligne.
- Vérifiez régulièrement les paramètres de sécurité de vos appareils.
En conclusion : restez vigilants et surfez en toute sécurité
Le pharming est une menace silencieuse, mais dangereuse pour votre sécurité en ligne. En acquérant les connaissances nécessaires et en prenant les mesures adéquates, vous serez parfaitement équipé pour vous protéger et protéger vos données. Des outils comme Avira Free Security vous aideront à y parvenir en bloquant les malwares et en repérant les activités suspectes.
