Ngày nay người dùng máy tính ngây thơ đang trở nên hiếm. Với giáo dục phần mềm độc hại phổ biến trên Internet, người ta không dễ bị lừa bởi email lừa đảo tuyên bố trúng hàng triệu đô la.
Điều đó không có nghĩa hacker kém quyết tâm hơn; chỉ có nghĩa họ phải làm việc thông minh hơn. Từ gián điệp hạ tầng công ty và gửi email cho nhân viên từ địa chỉ sếp, đến chiếm đoạt tài khoản Facebook người dùng và nhắn tin cho bạn bè, lạm dụng niềm tin là phương pháp hacker ưa chuộng ngày nay.
Một phương pháp trong tay chúng là chuyển hướng máy tính của bạn từ URL hợp pháp sang bản sao giả mạo nơi họ lấy chi tiết đăng nhập khi bạn nhập thông tin vào trang giả. Điều này gọi là "pharming", và nó có thể khá đáng sợ về phương pháp. Ở đây chúng tôi giải thích pharming là gì và nó hoạt động như thế nào?
Pharming Là Gì?
Bản thân, pharming là quy trình hai bước kết hợp hai vector tấn công; đầu độc DNS (DNS poisoning) và lừa đảo (phishing). Bằng cách利用优势 của cả hai, nó tạo ra cái bẫy đáng tin cậy cao để người ta rơi vào. Trong khi phishing hoạt động bằng cách thả mồi hy vọng người ta cắn câu, pharming có thể chiếm đoạt toàn bộ máy chủ DNS và chuyển hướng người dùng đến trang web giả.
Vì vậy để trả lời "pharming là gì?" chúng ta trước hết phải phân tích hai thành phần nó xây dựng trên và xem chúng tương tác như thế nào để hình thành tấn công pharming tổng thể.
Đầu Độc DNS (DNS Poisoning)
Bạn có thể thấy vector tấn công này độc ác đến đâu chỉ bằng tên! DNS poisoning hoạt động bằng cách chiếm đoạt tra cứu DNS. Khi bạn nhập địa chỉ web (như www.facebook.com), máy tính phải chuyển đổi nó thành địa chỉ IP. Vì máy tính không hiểu "Facebook" là gì! URL tồn tại để giúp chúng ta con người dễ nhớ địa chỉ trang web. Máy tính tuy nhiên biết địa chỉ IP là gì. Vì vậy để nói chuyện với Facebook, máy tính chuyển URL thành địa chỉ IP.
Chúng làm điều này bằng cách truy vấn máy chủ DNS, đóng vai trò như sổ địa chỉ cho URL và địa chỉ IP. Chúng dùng máy chủ DNS tìm địa chỉ IP của URL (www.facebook.com → 157.240.1.35), rồi dùng nó nói chuyện với máy chủ Facebook. Khi máy tính khám phá địa chỉ IP của URL, nó có thể ghi nhớ địa chỉ trong cache. Để tránh lãng phí thời gian tra cứu cùng địa chỉ IP lại và lại. Trong ví dụ này nó ghi nhớ www.facebook.com trỏ đến 157.240.1.35 trong cache.
DNS poisoning hoạt động theo hai cách: hoặc xâm nhập cache trên PC cá nhân và thay đổi địa chỉ IP trỏ đến trang web độc hại, hoặc lây nhiễm chính máy chủ DNS để PC tra cứu nhận kết quả "bị nhiễm". Trong cả hai trường hợp, lần sau người dùng gõ "www.facebook.com" vào trình duyệt, họ sẽ tải địa chỉ IP "bị độc" giả mạo thay thế.
Lừa Đảo (Phishing)
DNS poisoning cho phép kẻ tấn công chuyển hướng người dùng từ trang hợp pháp sang trang độc hại dù người dùng gõ đúng địa chỉ. Đây chỉ là bước một; sau cùng, đơn giản chuyển hướng người dùng sang trang khác không làm gì nhiều! Kết hợp với poisoning, hacker dùng phishing để biến chuyển hướng đơn giản thành lợi ích.
Trong ví dụ kẻ tấn công chuyển hướng người dùng ra khỏi Facebook sang trang web họ chọn. Có nhiều lựa chọn, nhưng trong tấn công pharming, kẻ tấn công chọn trang web họ đã thiết lập trước để giống hệt Facebook. Khi người dùng gõ www.facebook.com, DNS poisoning chuyển họ đến Facebook giả của hacker.
Bây giờ người dùng trên trang giả, nó sẽ nhắc nhập thông tin đăng nhập Facebook. Tin rằng họ trên Facebook thật, người dùng nhập chi tiết đăng nhập và truyền thông tin cho hacker, hoàn thành tấn công pharming.
Có Thể Làm Gì
Trước hết, hữu ích khi biết máy chủ DNS thường thuộc sở hữu ISP bạn dùng. Vì vậy, để tránh tấn công pharming vào máy chủ DNS, hãy chắc chắn chọn ISP uy tín. ISP tốt sẽ biết về pharming và có biện pháp đối phó bảo vệ máy chủ khỏi bị đầu độc.
Nhưng điểm yếu của pharming khi xâm nhập file cache máy tính của bạn là gì? Trước hết, luôn chắc chắn bạn có giải pháp antivirus hoặc anti-malware tốt. Chúng hy vọng phát hiện chỉnh sửa file cache địa chỉ máy tính và cảnh báo bạn trước khi thiệt hại xảy ra.
Ngay cả không có antivirus, bạn vẫn có thể ngăn chặn tấn công pharming bằng trí tuệ. Khi truy cập trang web phổ biến hoặc an toàn, như mạng xã hội hoặc ngân hàng, bạn sẽ thấy ổ khóa trên thanh địa chỉ và "HTTPS" ở đầu URL. Điều này có nghĩa trang web đã được xác thực bởi bên thứ ba có thẩm quyền là đúng như 주장. Vì vậy, nó được cấp chứng chỉ, và truyền thông được mã hóa.
Tất nhiên, nếu tấn công pharming chuyển hướng bạn đến trang giả mạo, trang đó không nên có chứng chỉ xác thực nó là thật. Dù URL trông giống hệt, việc thiếu chứng chỉ là dấu hiệu rõ ràng. Khi đăng nhập trang phổ biến, hãy chắc chắn chứng chỉ HTTPS hiện diện. Nếu bạn nhận thấy chứng chỉ "bất ngờ biến mất", có chuyện gì đó!
Lừa Dối Pharming
Với nhiều bước tạo vector tấn công phức tạp, pharming có thể hơi đáng sợ. Bây giờ bạn biết chi tiết pharming là gì và cách hoạt động. Tốt hơn, nếu bạn tinh ý và dùng ISP an toàn, bạn có thể không cần lo ngại bị tấn công pharming.
Bạn hoặc người bạn biết từng bị lừa bởi trang web trông thật sự thực? Cho chúng tôi biết bên dưới.