Ver el código de «SHEET CREEP – Campaña de Ciberespionaje Mediante Google Sheets como Canal de Comando y Control (2026)»

= Nombres Alternativos / Aliases =

* SHEET#CREEP
* Google Sheets RAT
* Sheets-Based C2 Malware
* Google Sheets Command & Control Campaign
* UAE-India Strategic Partnership Week Lure Campaign
* Cloud-Based Espionage RAT

----

== Fecha de Detección / Actividad ==

* Actividad observada: 2026
* Fecha de publicación del análisis: 23 de junio de 2026
* Estado: Campaña activa al momento del análisis
* Víctimas identificadas: Al menos 91 sistemas comprometidos registrados en la infraestructura de mando y control

----

== Actor de Amenaza (Atribución) ==
'''Nombre del Actor:''' Desconocido

'''Tipo de Actor:''' Operador de ciberespionaje avanzado

'''Motivación Principal:'''

* Espionaje diplomático
* Obtención de información estratégica
* Recolección de inteligencia geopolítica
* Acceso persistente a organizaciones de interés

'''Nivel de Sofisticación:''' Alto

'''Características observadas:'''

* Uso de servicios legítimos de Google para ocultar comunicaciones maliciosas.
* Persistencia prolongada en sistemas comprometidos.
* Ejecución de PowerShell en memoria.
* Técnicas de evasión y ocultamiento avanzadas.
* Infraestructura diseñada para mezclarse con tráfico legítimo.

----

== Resumen Ejecutivo ==
SHEET#CREEP es una campaña de ciberespionaje que utiliza un Troyano de Acceso Remoto (RAT) desarrollado en C#. Su característica más distintiva es el uso de la API de Google Sheets como infraestructura de Comando y Control (C2), permitiendo a los operadores enviar instrucciones y recibir información robada utilizando un servicio legítimo ampliamente utilizado.

La infección comienza mediante campañas de spearphishing que distribuyen archivos ISO relacionados con eventos diplomáticos, particularmente documentación asociada a la "UAE-India Strategic Partnership Week". Dentro de la imagen ISO se encuentra un acceso directo (LNK) que simula ser un documento PDF legítimo.

Cuando la víctima ejecuta el archivo, se inicia un instalador que despliega simultáneamente un documento PDF señuelo y el malware principal. El RAT es almacenado en la ruta:

Posteriormente establece persistencia mediante una tarea programada denominada:

Una vez activo, el malware crea un identificador único para la víctima y establece comunicación con una hoja de cálculo de Google Sheets. Cada sistema comprometido recibe una pestaña exclusiva donde el operador puede enviar comandos a través de una columna y recibir resultados codificados en Base64 en otra.

La variante observada incorpora cifrado XOR para proteger configuraciones internas y ejecuta comandos PowerShell directamente en memoria, evitando la creación de procesos visibles de powershell.exe y dificultando la detección por soluciones de seguridad.
----

== Vector de Ataque / Método de Distribución ==
'''Vector Principal:''' Spearphishing

'''Método de Distribución:'''

* Correos electrónicos dirigidos.
* Archivos ISO maliciosos.
* Accesos directos LNK disfrazados de documentos PDF.
* Temáticas diplomáticas y geopolíticas.

'''Cadena de Infección:'''

# Recepción de archivo ISO.
# Montaje de la imagen por parte de la víctima.
# Ejecución del acceso directo LNK.
# Despliegue de documento PDF señuelo.
# Instalación del RAT.
# Creación de persistencia.
# Comunicación con Google Sheets.
# Recepción de comandos y exfiltración de datos.

----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica
!Técnica
!Descripción
|-
|Initial Access (TA0001)
|Spearphishing Attachment (T1566.001)
|Distribución mediante archivos ISO con temática diplomática.
|-
|Execution (TA0002)
|User Execution: Malicious File (T1204.002)
|La víctima ejecuta el acceso directo LNK malicioso.
|-
|Execution (TA0002)
|PowerShell (T1059.001)
|Ejecución de comandos PowerShell directamente en memoria.
|-
|Persistence (TA0003)
|Scheduled Task (T1053.005)
|Creación de la tarea WindowsVaultSyncService.
|-
|Defense Evasion (TA0005)
|Obfuscated Files or Information (T1027)
|Uso de cifrado XOR para ocultar configuraciones críticas.
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|Archivos y nombres diseñados para aparentar componentes legítimos.
|-
|Defense Evasion (TA0005)
|Hidden Files and Directories (T1564.001)
|Aplicación de atributos ocultos y de sistema.
|-
|Discovery (TA0007)
|System Information Discovery (T1082)
|Recolección de información del usuario y equipo.
|-
|Collection (TA0009)
|Data from Local System (T1005)
|Obtención de información local del sistema.
|-
|Command and Control (TA0011)
|Web Service: Bidirectional Communication (T1102.002)
|Uso de Google Sheets como canal bidireccional de comunicación.
|-
|Command and Control (TA0011)
|Application Layer Protocol: Web Protocols (T1071.001)
|Comunicación mediante HTTPS con servicios de Google.
|}
----

== Infraestructura Utilizada ==

=== Servicios Legítimos Abusados ===

* Google Sheets API
* Google Cloud Service Accounts
* HTTPS

=== Componentes del Sistema Utilizados ===
'''Ruta de instalación:'''

'''Persistencia:'''

=== Mecanismo de Comando y Control ===
Cada víctima recibe una pestaña individual dentro de una hoja de cálculo de Google Sheets:
{| class="wikitable"
!Columna
!Función
|-
|A
|Comandos enviados por el operador
|-
|B
|Resultados codificados en Base64
|}
----

== Errores Operacionales del Atacante ==
No se identificaron errores operacionales significativos durante el análisis.

Por el contrario, la campaña evidencia:

* Correcta separación de víctimas.
* Uso de infraestructura legítima.
* Persistencia discreta.
* Eliminación de rastros de instalación.
* Comunicación cifrada y ofuscada.

Estos elementos sugieren un operador experimentado con enfoque en operaciones de espionaje a largo plazo.
----

== Impacto y Riesgo ==

=== Nivel de Riesgo ===
'''Alto'''

=== Posibles Consecuencias ===

==== Pérdida de Información ====

* Documentos diplomáticos.
* Información estratégica.
* Credenciales corporativas.
* Comunicaciones internas.

==== Compromiso de Sistemas ====

* Ejecución remota de comandos.
* Movimiento lateral potencial.
* Persistencia prolongada.

==== Impacto Operativo ====

* Interrupción de operaciones.
* Necesidad de contención y recuperación.
* Incremento de costos de respuesta.

==== Impacto Reputacional ====

* Exposición de información sensible.
* Pérdida de confianza institucional.
* Riesgos regulatorios.

----

== Organizaciones Objetivo ==

=== Sectores Identificados ===

* Gobierno
* Relaciones Exteriores
* Organismos Internacionales
* Defensa
* Seguridad Nacional
* Centros de Investigación Geopolítica
* Universidades y Academia
* Organizaciones No Gubernamentales (ONG)
* Consultoras Estratégicas
* Empresas de análisis de riesgo geopolítico
* Medios especializados en asuntos internacionales

----

== Contexto Más Amplio: Malware Basado en Servicios Cloud Legítimos ==
SHEET#CREEP representa una tendencia creciente en operaciones de espionaje moderno donde los actores de amenazas abandonan infraestructuras tradicionales de comando y control para utilizar servicios cloud legítimos.

El uso de plataformas ampliamente utilizadas como Google Sheets dificulta significativamente la detección, ya que el tráfico generado se mezcla con comunicaciones corporativas legítimas. Esta técnica reduce la efectividad de controles perimetrales basados en reputación de dominios y obliga a las organizaciones a incrementar el monitoreo del comportamiento de procesos y usuarios.

La campaña demuestra cómo servicios colaborativos legítimos pueden transformarse en canales encubiertos para espionaje y exfiltración de información.
----

== Referencias y Fuentes ==

* Informe CTI LATAM – INDRA (23 de junio de 2026)
* Análisis técnico de la campaña SHEET#CREEP
* Framework MITRE ATT&CK

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-24
|1.0
|Fernando Vargas Hincapié
|Creación inicial de la ficha técnica de la campaña SHEET#CREEP.
|}
----

== Indicadores de Compromiso (IOCs) ==
{| class="wikitable"
!Tipo
!Indicador
|-
|SHA-256
|1ba67bb1cfad42446880cca53cbd05fe66d7514b2bb139b48e5c63adff14be7b
|-
|SHA-256
|2cc7c2d8653c98e5bac32fcaf5e45b861efb4bb87df3b3f96285edb475e75bba
|-
|SHA-256
|62d62950ff7a0e43550a5d0ba55d32d5083b9de5538e0f012e406b6d951e16aa
|-
|Ruta
|%LOCALAPPDATA%\Microsoft\Vault\vaultsvc.exe
|-
|Tarea Programada
|WindowsVaultSyncService
|-
|Servicio Abusado
|Google Sheets API
|}
----

== Comportamiento Anómalo a Monitorear ==
{| class="wikitable"
!Categoría
!Comportamiento
|-
|Correo electrónico
|Recepción de archivos ISO relacionados con asuntos diplomáticos.
|-
|Sistema de archivos
|Creación de archivos ejecutables en directorios asociados con Microsoft Vault.
|-
|Persistencia
|Creación de la tarea WindowsVaultSyncService.
|-
|Red
|Comunicación frecuente con Google Sheets API desde procesos inusuales.
|-
|PowerShell
|Ejecución de PowerShell sin procesos visibles powershell.exe.
|-
|Google Workspace
|Acceso automatizado a hojas de cálculo desde estaciones de trabajo no autorizadas.
|-
|Evasión
|Archivos con atributos Hidden y System establecidos inmediatamente después de su creación.
|}

== Etiquetas / Categorías ==
sheetcreep google-sheets-rat google-sheets-c2 cloud-c2 cyber-espionage espionage rat malware csharp spearphishing phishing iso lnk powershell google-sheets google-workspace google-api command-and-control c2 persistence scheduled-task windowsvaultsyncservice xor-obfuscation masquerading hidden-files defense-evasion data-collection system-information-discovery government diplomacy international-organizations defense national-security geopolitical-intelligence threat-campaign 2026 cyber-threat-intelligence apt-style-operation covert-communications cloud-abuse targeted-attack espionage-campaign remote-access-trojan espionage-malware diplomatic-targeting geostrategic-targeting