Nombres Alternativos / Aliases

SHEET#CREEP
Google Sheets RAT
Sheets-Based C2 Malware
Google Sheets Command & Control Campaign
UAE-India Strategic Partnership Week Lure Campaign
Cloud-Based Espionage RAT

Fecha de Detección / Actividad

Actividad observada: 2026
Fecha de publicación del análisis: 23 de junio de 2026
Estado: Campaña activa al momento del análisis
Víctimas identificadas: Al menos 91 sistemas comprometidos registrados en la infraestructura de mando y control

Actor de Amenaza (Atribución)

Nombre del Actor: Desconocido

Tipo de Actor: Operador de ciberespionaje avanzado

Motivación Principal:

Espionaje diplomático
Obtención de información estratégica
Recolección de inteligencia geopolítica
Acceso persistente a organizaciones de interés

Nivel de Sofisticación: Alto

Características observadas:

Uso de servicios legítimos de Google para ocultar comunicaciones maliciosas.
Persistencia prolongada en sistemas comprometidos.
Ejecución de PowerShell en memoria.
Técnicas de evasión y ocultamiento avanzadas.
Infraestructura diseñada para mezclarse con tráfico legítimo.

Resumen Ejecutivo

SHEET#CREEP es una campaña de ciberespionaje que utiliza un Troyano de Acceso Remoto (RAT) desarrollado en C#. Su característica más distintiva es el uso de la API de Google Sheets como infraestructura de Comando y Control (C2), permitiendo a los operadores enviar instrucciones y recibir información robada utilizando un servicio legítimo ampliamente utilizado.

La infección comienza mediante campañas de spearphishing que distribuyen archivos ISO relacionados con eventos diplomáticos, particularmente documentación asociada a la "UAE-India Strategic Partnership Week". Dentro de la imagen ISO se encuentra un acceso directo (LNK) que simula ser un documento PDF legítimo.

Cuando la víctima ejecuta el archivo, se inicia un instalador que despliega simultáneamente un documento PDF señuelo y el malware principal. El RAT es almacenado en la ruta:

Posteriormente establece persistencia mediante una tarea programada denominada:

Una vez activo, el malware crea un identificador único para la víctima y establece comunicación con una hoja de cálculo de Google Sheets. Cada sistema comprometido recibe una pestaña exclusiva donde el operador puede enviar comandos a través de una columna y recibir resultados codificados en Base64 en otra.

La variante observada incorpora cifrado XOR para proteger configuraciones internas y ejecuta comandos PowerShell directamente en memoria, evitando la creación de procesos visibles de powershell.exe y dificultando la detección por soluciones de seguridad.

Vector de Ataque / Método de Distribución

Vector Principal: Spearphishing

Método de Distribución:

Correos electrónicos dirigidos.
Archivos ISO maliciosos.
Accesos directos LNK disfrazados de documentos PDF.
Temáticas diplomáticas y geopolíticas.

Cadena de Infección:

Recepción de archivo ISO.
Montaje de la imagen por parte de la víctima.
Ejecución del acceso directo LNK.
Despliegue de documento PDF señuelo.
Instalación del RAT.
Creación de persistencia.
Comunicación con Google Sheets.
Recepción de comandos y exfiltración de datos.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica	Técnica	Descripción
Initial Access (TA0001)	Spearphishing Attachment (T1566.001)	Distribución mediante archivos ISO con temática diplomática.
Execution (TA0002)	User Execution: Malicious File (T1204.002)	La víctima ejecuta el acceso directo LNK malicioso.
Execution (TA0002)	PowerShell (T1059.001)	Ejecución de comandos PowerShell directamente en memoria.
Persistence (TA0003)	Scheduled Task (T1053.005)	Creación de la tarea WindowsVaultSyncService.
Defense Evasion (TA0005)	Obfuscated Files or Information (T1027)	Uso de cifrado XOR para ocultar configuraciones críticas.
Defense Evasion (TA0005)	Masquerading (T1036)	Archivos y nombres diseñados para aparentar componentes legítimos.
Defense Evasion (TA0005)	Hidden Files and Directories (T1564.001)	Aplicación de atributos ocultos y de sistema.
Discovery (TA0007)	System Information Discovery (T1082)	Recolección de información del usuario y equipo.
Collection (TA0009)	Data from Local System (T1005)	Obtención de información local del sistema.
Command and Control (TA0011)	Web Service: Bidirectional Communication (T1102.002)	Uso de Google Sheets como canal bidireccional de comunicación.
Command and Control (TA0011)	Application Layer Protocol: Web Protocols (T1071.001)	Comunicación mediante HTTPS con servicios de Google.

Infraestructura Utilizada

Servicios Legítimos Abusados

Google Sheets API
Google Cloud Service Accounts
HTTPS

Componentes del Sistema Utilizados

Ruta de instalación:

Persistencia:

Mecanismo de Comando y Control

Cada víctima recibe una pestaña individual dentro de una hoja de cálculo de Google Sheets:

Columna	Función
A	Comandos enviados por el operador
B	Resultados codificados en Base64

Errores Operacionales del Atacante

No se identificaron errores operacionales significativos durante el análisis.

Por el contrario, la campaña evidencia:

Correcta separación de víctimas.
Uso de infraestructura legítima.
Persistencia discreta.
Eliminación de rastros de instalación.
Comunicación cifrada y ofuscada.

Estos elementos sugieren un operador experimentado con enfoque en operaciones de espionaje a largo plazo.

Impacto y Riesgo

Nivel de Riesgo

Alto

Posibles Consecuencias

Pérdida de Información

Documentos diplomáticos.
Información estratégica.
Credenciales corporativas.
Comunicaciones internas.

Compromiso de Sistemas

Ejecución remota de comandos.
Movimiento lateral potencial.
Persistencia prolongada.

Impacto Operativo

Interrupción de operaciones.
Necesidad de contención y recuperación.
Incremento de costos de respuesta.

Impacto Reputacional

Exposición de información sensible.
Pérdida de confianza institucional.
Riesgos regulatorios.

Organizaciones Objetivo

Sectores Identificados

Gobierno
Relaciones Exteriores
Organismos Internacionales
Defensa
Seguridad Nacional
Centros de Investigación Geopolítica
Universidades y Academia
Organizaciones No Gubernamentales (ONG)
Consultoras Estratégicas
Empresas de análisis de riesgo geopolítico
Medios especializados en asuntos internacionales

Contexto Más Amplio: Malware Basado en Servicios Cloud Legítimos

SHEET#CREEP representa una tendencia creciente en operaciones de espionaje moderno donde los actores de amenazas abandonan infraestructuras tradicionales de comando y control para utilizar servicios cloud legítimos.

El uso de plataformas ampliamente utilizadas como Google Sheets dificulta significativamente la detección, ya que el tráfico generado se mezcla con comunicaciones corporativas legítimas. Esta técnica reduce la efectividad de controles perimetrales basados en reputación de dominios y obliga a las organizaciones a incrementar el monitoreo del comportamiento de procesos y usuarios.

La campaña demuestra cómo servicios colaborativos legítimos pueden transformarse en canales encubiertos para espionaje y exfiltración de información.

Referencias y Fuentes

Informe CTI LATAM – INDRA (23 de junio de 2026)
Análisis técnico de la campaña SHEET#CREEP
Framework MITRE ATT&CK

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-06-24	1.0	Fernando Vargas Hincapié	Creación inicial de la ficha técnica de la campaña SHEET#CREEP.

Indicadores de Compromiso (IOCs)

Tipo	Indicador
SHA-256	1ba67bb1cfad42446880cca53cbd05fe66d7514b2bb139b48e5c63adff14be7b
SHA-256	2cc7c2d8653c98e5bac32fcaf5e45b861efb4bb87df3b3f96285edb475e75bba
SHA-256	62d62950ff7a0e43550a5d0ba55d32d5083b9de5538e0f012e406b6d951e16aa
Ruta	%LOCALAPPDATA%\Microsoft\Vault\vaultsvc.exe
Tarea Programada	WindowsVaultSyncService
Servicio Abusado	Google Sheets API

Comportamiento Anómalo a Monitorear

Categoría	Comportamiento
Correo electrónico	Recepción de archivos ISO relacionados con asuntos diplomáticos.
Sistema de archivos	Creación de archivos ejecutables en directorios asociados con Microsoft Vault.
Persistencia	Creación de la tarea WindowsVaultSyncService.
Red	Comunicación frecuente con Google Sheets API desde procesos inusuales.
PowerShell	Ejecución de PowerShell sin procesos visibles powershell.exe.
Google Workspace	Acceso automatizado a hojas de cálculo desde estaciones de trabajo no autorizadas.
Evasión	Archivos con atributos Hidden y System establecidos inmediatamente después de su creación.

Etiquetas / Categorías

sheetcreep google-sheets-rat google-sheets-c2 cloud-c2 cyber-espionage espionage rat malware csharp spearphishing phishing iso lnk powershell google-sheets google-workspace google-api command-and-control c2 persistence scheduled-task windowsvaultsyncservice xor-obfuscation masquerading hidden-files defense-evasion data-collection system-information-discovery government diplomacy international-organizations defense national-security geopolitical-intelligence threat-campaign 2026 cyber-threat-intelligence apt-style-operation covert-communications cloud-abuse targeted-attack espionage-campaign remote-access-trojan espionage-malware diplomatic-targeting geostrategic-targeting