"SHEET CREEP"

SHEET#CREEP es un troyano de acceso remoto (RAT) desarrollado en C#, identificado en una campaña de ciberespionaje que emplea la API de Google Sheets como canal de Comando y Control (C2). Esta técnica permite que las comunicaciones del malware se mezclen con el tráfico legítimo hacia los servicios de Google, dificultando su detección por parte de dispositivos de seguridad perimetrales . La cadena de infección comienza con un archivo ISO que simula contener documentación relacionada con eventos diplomáticos; al montar la imagen, la víctima visualiza un acceso directo LNK que aparenta ser un documento PDF, y al ejecutarlo se inicia un ejecutable en C# encargado de desplegar el RAT.

El ejecutable extrae dos recursos internos: un documento PDF señuelo que se abre para evitar sospechas, y el RAT propiamente dicho, que se almacena en la ruta %LOCALAPPDATA%\Microsoft\Vault\vaultsvc.exe para camuflarse dentro de un directorio asociado al almacén de credenciales de Windows. El malware establece persistencia mediante una tarea programada denominada "WindowsVaultSyncService", configurada para ejecutarse en cada inicio de sesión sin límite de tiempo. Posteriormente, el instalador elimina sus rastros y reemplaza el ejecutable inicial por el PDF señuelo. El RAT genera un identificador único utilizando el nombre de usuario, el nombre del equipo y una porción de un hash SHA-256, asignando a cada víctima una pestaña exclusiva dentro de una hoja de cálculo de Google, donde los comandos del operador se almacenan en la columna A y las respuestas del sistema comprometido se registran en la columna B codificadas en Base64.

La variante analizada incorpora una capa de ofuscación basada en XOR para proteger información crítica como el identificador de la hoja de cálculo y la cuenta de servicio de Google Cloud utilizada para la autenticación, y ejecuta instrucciones de PowerShell en memoria para evitar la creación de procesos visibles. La campaña ha permitido identificar al menos 91 pestañas de víctimas activas, afectando a entornos de investigación, sistemas automatizados de análisis y objetivos reales vinculados a intereses diplomáticos y estratégicos. El impacto potencial incluye interrupción operativa, pérdida de información diplomática y estratégica, costos financieros por respuesta a incidentes y sanciones regulatorias, compromiso de seguridad de equipos y credenciales, y riesgo reputacional por exposición de sistemas comprometidos .

Funcionamiento

SHEET#CREEP es un troyano de acceso remoto (RAT) altamente sofisticado que utiliza la API de Google Sheets como su principal canal de Comando y Control (C2), una técnica que permite que las comunicaciones maliciosas se oculten en el tráfico legítimo hacia Google, haciendo extremadamente difícil su detección . La cadena de infección comienza con un archivo ISO con temática diplomática que contiene un acceso directo LNK malicioso. Al ejecutarlo, se activa un dropper en C# cuyo objetivo es extraer dos recursos internos: un documento PDF señuelo que se abre para evitar sospechas y el payload principal del RAT .

🧬 Cadena de Infección y Persistencia

El flujo de ejecución está meticulosamente diseñado para ser sigiloso y asegurar la persistencia :

1. Archivo ISO con LNK señuelo: El usuario recibe y abre un archivo ISO que, al ser montado, muestra un acceso directo LNK con el icono de un documento PDF. Al hacer doble clic, en lugar de abrir un PDF, ejecuta un comando que lanza un dropper en C# (documentado como Document_11052026-03578240540350-93.exe) .
2. Dropper (CoreDeployment): Este pequeño ejecutable en C# realiza las siguientes acciones en segundo plano :
   • Extrae y ejecuta el PDF señuelo: Abre un documento PDF legítimo para que la víctima no sospeche nada.
   • Instala el RAT: Escribe el payload principal del RAT en una ruta específica: %LOCALAPPDATA%\Microsoft\Vault\vaultsvc.exe. Esta ubicación es una carpeta legítima de Windows, lo que ayuda a camuflar el malware .
   • Oculta el archivo: Establece los atributos del archivo vaultsvc.exe como Oculto y Sistema para que no sea visible en exploradores de archivos con configuraciones predeterminadas .
3. Persistencia mediante tarea programada: El dropper utiliza la API COM del Programador de Tareas de Windows para crear una tarea denominada WindowsVaultSyncService . Esta tarea está configurada para ejecutar el RAT en cada inicio de sesión del usuario, sin límite de tiempo, garantizando su permanencia en el sistema .
4. Auto-eliminación ("Melt"): Para eliminar rastros, el dropper ejecuta una rutina de autodestrucción que lo borra a sí mismo y coloca el PDF señuelo en su lugar, dejando solo el RAT oculto y la tarea programada como evidencia .

⚙️ Funcionamiento del RAT y Canal C2

El RAT, llamado SHEETCREEP y alojado como vaultsvc.exe, es un binario de .NET que, a pesar de su pequeño tamaño (~20 KB), es completamente funcional. Su operación se centra en el uso de la API de Google Sheets :

• Generación de ID de Víctima: Al ejecutarse, el RAT genera un identificador único para cada máquina infectada, combinando el nombre de usuario, el nombre del equipo y una parte de un hash SHA-256 . Este ID se usará para crear una pestaña dedicada para la víctima dentro de la hoja de cálculo de C2 .
• Autenticación en Google Sheets: Para comunicarse, el RAT se autentica en la API de Google Sheets mediante una cuenta de servicio de Google Cloud Platform (GCP) y una clave privada RSA-2048 que están embebidas en su código .
• Configuración Ofuscada: Para dificultar el análisis estático, la configuración crítica, como el ID de la hoja de cálculo de C2 y el correo de la cuenta de servicio, no están en texto plano. En la variante más reciente, se utiliza un cifrado XOR con la clave "discrete" para ofuscar estos valores, los cuales son descifrados en tiempo de ejecución .
• Comunicación Bidireccional: Una vez autenticado, el RAT accede a la hoja de cálculo de C2. El operador escribe los comandos (codificados en Base64) en la Columna A de la pestaña de la víctima. El RAT consulta periódicamente esta columna, y cuando encuentra un comando pendiente, lo ejecuta en el sistema. La salida del comando se codifica en Base64 y se escribe en la Columna B, cerrando el ciclo de comunicación .
• Ejecución de Comandos Sigilosa: Para evitar la detección por parte de las soluciones EDR que monitorean la creación de procesos, la mayoría de los comandos se ejecutan dentro de un espacio de ejecución (runspace) de PowerShell incrustado en el propio proceso del RAT, en lugar de lanzar un proceso hijo de powershell.exe .

🚨 Medidas Anti-Análisis y Detección

El RAT incorpora mecanismos para frustrar el análisis de seguridad:

• Anti-Depuración: Se ha observado que, si el malware detecta herramientas de análisis como dnSpy, Wireshark o Network Monitor en el sistema, el operador puede ejecutar el comando Restart-Computer -Force para reiniciar el equipo y romper la sesión de depuración .
• Geofencing y Filtrado: Los servidores utilizados para distribuir el malware realizan comprobaciones geográficas y de User-Agent para asegurar que el payload solo se entregue a víctimas en las regiones objetivo, lo que dificulta que los investigadores fuera de la zona obtengan muestras .
• Detección de Sandboxes: La campaña ha sido rastreada, identificando pestañas que corresponden a entornos de sandbox y laboratorios de investigación, lo que indica que el malware puede tener mecanismos para detectar y evadir estos entornos .

Impacto y consecuencias

El impacto de SHEET#CREEP trasciende el simple compromiso de sistemas aislados, afectando la confidencialidad de información diplomática crítica y la integridad operativa de entidades gubernamentales. Gracias a su uso de la API de Google Sheets como canal de Comando y Control (C2), el tráfico malicioso se oculta en comunicaciones HTTPS legítimas hacia sheets.googleapis.com, lo que lo hace virtualmente indistinguible del tráfico normal de Google Workspace a nivel de red . Esta característica dificulta extremadamente su detección por parte de firewalls, proxies y soluciones de seguridad perimetral que no pueden bloquear servicios de Google sin interrumpir operaciones comerciales legítimas. Los investigadores de Securonix lograron identificar 91 pestañas de víctimas activas en la hoja de cálculo C2, incluyendo 17 sistemas que no mostraban indicadores de sandbox y fueron clasificados como objetivos reales potenciales, entre ellos un objetivo de alta confianza ubicado en Islamabad, Pakistán, lo que confirma la naturaleza dirigida de la campaña contra intereses diplomáticos .

Pérdida de Información Estratégica y Riesgo Reputacional

El RAT permite a los operadores ejecutar comandos remotos, recolectar información del sistema y extraer datos confidenciales de los equipos comprometidos, afectando a sectores como gobierno, relaciones exteriores y defensa . Esta capacidad representa un riesgo significativo de filtración de documentos diplomáticos y estratégicos, así como de credenciales de acceso a sistemas corporativos. Según el informe de Inteligencia de Amenazas, el impacto potencial incluye "pérdida de información diplomática, documentación estratégica y credenciales de acceso", junto con un riesgo reputacional derivado de la exposición de sistemas comprometidos y el espionaje corporativo . Además, el malware ejecuta comandos de PowerShell dentro de la memoria del propio proceso, evitando la creación de procesos hijos de powershell.exe que las soluciones EDR podrían detectar . Esta técnica de evasión avanzada, combinada con la ofuscación XOR de las configuraciones C2, complica el análisis forense y la respuesta a incidentes, aumentando el tiempo y costo de contención para las organizaciones afectadas .

Consecuencias Operativas y Financieras

La campaña SHEET#CREEP ha demostrado ser una amenaza persistente que ha evolucionado desde su documentación inicial por Zscaler en enero de 2026, con nuevas variantes que emplean cifrado XOR con la clave "discrete" para proteger las configuraciones críticas . Los costos financieros para las víctimas incluyen la respuesta a incidentes, investigaciones forenses, recuperación de sistemas y potenciales sanciones regulatorias por violaciones de protección de datos . La presencia de 28 pestañas identificadas como sistemas de sandbox automatizados sugiere que el malware está siendo activamente analizado por la comunidad de seguridad, pero la existencia de 17 objetivos reales demuestra que la campaña sigue siendo operativa y exitosa . La capacidad del malware para forzar el reinicio del sistema cuando detecta herramientas de análisis como dnSpy o Wireshark indica que los operadores están monitoreando activamente sus víctimas y tomando medidas para frustrar investigaciones, lo que añade una capa adicional de complejidad para los equipos de respuesta .

Impacto Geopolítico y Atribución

Con moderada confianza, los investigadores atribuyen esta campaña a APT36 (Transparent Tribe), un grupo alineado con Pakistán con un historial documentado de ataques contra entidades gubernamentales y militares indias . El señuelo temático "UAE-India Strategic Partnership Week" y la identificación de un objetivo en Islamabad refuerzan esta atribución . La sofisticación técnica demostrada —incluyendo el abuso de servicios cloud legítimos y la evasión avanzada— sugiere que el grupo ha evolucionado significativamente desde campañas anteriores, lo que tiene implicaciones a largo plazo para la postura de seguridad de los estados de la región. Como señala el informe, "esta campaña es particularmente relevante para entidades que manejan información sensible y dependen de servicios digitales críticos, con riesgos de espionaje de alto nivel" . La adopción de esta técnica por parte de un actor estatal podría inspirar a otros grupos a implementar métodos similares, expandiendo el uso de servicios cloud legítimos como canales C2 encubiertos.

Origen y motivación

El malware SHEET#CREEP tiene su origen en el grupo de ciberespionaje APT36, también conocido como Transparent Tribe, una amenaza persistente avanzada vinculada a Pakistán que ha estado activa desde al menos 2013. Su motivación principal es el espionaje y la recolección de inteligencia para apoyar los intereses geopolíticos y militares de Pakistán, centrándose casi exclusivamente en el gobierno, las entidades diplomáticas y las infraestructuras críticas de India y, en menor medida, de otros países de Asia Meridional como Afganistán. La campaña SHEET#CREEP, que emplea como señuelo la "Semana de la Asociación Estratégica UAE-India" para comprometer objetivos diplomáticos y gubernamentales indios, se alinea perfectamente con el historial de este grupo.

• Relación de acciones para mitigar el riesgo de esta actividad maliciosa.