McAfee รายงานถึงปฎิบัติการ GhostSecret ที่เจาะเซิร์ฟเวอร์ประเทศต่างๆ ทั่วโลก โดยพบจากการเจาะธนาคารในตุรกีเมื่อเดือนมีนาคมที่ผ่านมา GhostSecret มีการใช้เครื่องมือที่คล้ายกับปฎิบัติการของกลุ่ม Hidden Cobra ที่เคยถูกระบุว่าเป็นกลุ่มปฎิบัติการของเกาหลีเหนือมาก่อน

การวิเคราะห์มัลแวร์ไล่ไปถึงเซิร์ฟเวอร์ควบคุมสามเครื่องที่อยู่ในวงเน็ตเวิร์ค 203.131.222.0/24 ของมหาวิทยาลัยธรรมศาสตร์ โดยเซิร์ฟเวอร์ทั้งสามเครื่องควบคุมเซิร์ฟเวอร์อื่นอีกต่อหนึ่งอีกหลายสิบเครื่อง เฉพาะในประเทศไทยเองมากที่สุดเกือบ 50 เครื่อง

ตัวมัลแวร์รับคำสั่งจากเซิร์ฟเวอร์ควบคุม มีความสามารถเช่น ลบไฟล์, อ่านไฟล์, รันมัลแวร์เพิ่มเติม, สำรวจเน็ตเวิร์ค ฯลฯ โดยเครื่องของเหยื่อถูกโจมตีจากอีเมล spear phishing ที่ผู้ร้ายสร้างอีเมลหลอกให้เหยื่อเปิดอ่านไฟล์ เป็นไฟล์ Word ที่มีโค้ดอันตรายอยู่

ทาง ThaiCERT ได้รับรายงานนี้จาก McAfee และกำลังติดต่อหน่วยงานที่เกี่ยวข้องเพื่อแจ้งเหตุและให้ความช่วยเหลือต่อไป

ที่มา - McAfee