GRIDTIDE

GRIDTIDE es una sofisticada puerta trasera (backdoor) utilizada en una campaña global de ciberespionaje atribuida a un presunto grupo con nexos con la República Popular China. El malware destaca por su innovador método de Comando y Control (C2), que abusa de las APIs legítimas de Hojas de Cálculo de Google para camuflar su tráfico malicioso como actividad benigna, evadiendo así las detecciones tradicionales basadas en red.

Nombres Alternativos / Aliases

UNC2814 (Nombre del grupo actor de amenaza asignado por Google Threat Intelligence Group).
Puerta Trasera de Hojas de Cálculo de Google (Por su singular método de C2).
Campaña GRIDTIDE (Nombre en clave de la operación y el malware).
xapt (Nombre del binario de la puerta trasera observado en sistemas comprometidos).

Fecha de Detección / Actividad

Período de Actividad Observado: Desde al menos 2017 (actividad del grupo UNC2814). La campaña específica con GRIDTIDE ha estado activa desde al menos 2023.
Fecha de Divulgación Pública: 25 de febrero de 2026.
Estado: Interrumpido. Google, Mandiant y sus socios ejecutaron acciones coordinadas el 18 de febrero de 2026 para desmantelar la infraestructura del atacante, cortar su acceso y notificar a las víctimas.

Actor de Amenaza (Atribución)

Atribución: Presunto grupo de ciberespionaje con nexo con la República Popular China (RPC). Google Threat Intelligence Group (GTIG) rastrea al actor como UNC2814.
Tipo de Actor: Grupo de ciberespionaje patrocinado por un estado. Su objetivo principal es la vigilancia y el robo de información de gobiernos y empresas de telecomunicaciones.
Sofisticación: Alta. El grupo ha operado de manera escurridiza durante casi una década (desde 2017). Demuestra un conocimiento profundo de las infraestructuras de red y de las APIs en la nube para desarrollar métodos de C2 sigilosos y difíciles de detectar. Su enfoque en el abuso de servicios legítimos (Google Sheets) para el C2 muestra una capacidad de adaptación técnica significativa.

Resumen Ejecutivo

GRIDTIDE es el nombre de una operación de ciberespionaje a gran escala orquestada por el grupo UNC2814. El ataque se centra en infiltrarse en organizaciones gubernamentales y, principalmente, en proveedores de telecomunicaciones a nivel mundial. El componente técnico clave es una puerta trasera del mismo nombre, escrita en C, que utiliza Hojas de Cálculo de Google como servidor de Comando y Control (C2). En lugar de comunicarse con una IP o dominio malicioso evidente, el malware infectado intercambia comandos y datos robados a través de las celdas de una hoja de cálculo de Google, utilizando para ello las APIs oficiales. Esto hace que el tráfico malicioso sea indistinguible del tráfico legítimo hacia los servicios de Google. Una vez dentro, el atacante realiza movimientos laterales, roba información de identificación personal (PII) y establece persistencia. La campaña, antes de ser interrumpida, había confirmado 53 intrusiones en 42 países y sospechas en otros 20, demostrando su alcance global y su enfoque en la vigilancia de individuos de interés a través de la infraestructura de telecomunicaciones.

Vectores de Ataque

Explotación de Servidores Perimetrales: Aunque el vector exacto de esta campaña no se especifica, UNC2814 tiene un historial de acceso inicial mediante la explotación y vulneración de servidores web y otros sistemas en el perímetro de la red.
Credenciales Comprometidas: No se descarta el uso de credenciales válidas obtenidas previamente para acceder a sistemas expuestos.
Ingeniería Social: No se menciona como vector primario en esta campaña, pero podría ser un método complementario utilizado por el grupo históricamente.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Ejecución (TA0002)	Ejecución de Comandos y Scripting (T1059)	GRIDTIDE ejecuta comandos de shell Bash arbitrarios en el sistema comprometido, recibidos a través de la hoja de cálculo de Google.
Persistencia (TA0003)	Creación o Modificación de Servicio del Sistema (T1543.003)	El atacante crea un servicio systemd malicioso (`/etc/systemd/system/xapt.service`) para garantizar que la puerta trasera GRIDTIDE se ejecute automáticamente en cada inicio del sistema.
Evasión de Defensas (TA0005)	Uso de API de Servicios Web Legítimos (T1102)	Técnica Principal. GRIDTIDE utiliza las APIs de Google Sheets para todas las comunicaciones C2, camuflando el tráfico malicioso dentro de conexiones legítimas a `sheets.googleapis.com`.
Evasión de Defensas (TA0005)	Ofuscación (T1027)	Los datos enviados a través de Google Sheets se codifican en Base64 con una variante segura para URL (reemplazando `+` y `/` por `-` y `_`), dificultando su identificación en logs web.
Evasión de Defensas (TA0005)	"Living Off the Land" (LotL)	El atacante utiliza binarios nativos del sistema (como `sh`, `id`, `curl`, `ssh`) para el reconocimiento y movimiento lateral, reduciendo la necesidad de descargar herramientas adicionales.
Descubrimiento (TA0007)	Descubrimiento de Información del Sistema (T1082)	Al ejecutarse, GRIDTIDE recopila automáticamente nombre de usuario, nombre del endpoint, IP local, directorio de trabajo, idioma y zona horaria, y los almacena en la celda `V1` de la hoja de cálculo.
Descubrimiento (TA0007)	Descubrimiento de Grupos y Usuarios (T1069)	El atacante ejecuta comandos como `id 2>&1` para verificar la escalada de privilegios a `root` tras la ejecución inicial.
Movimiento Lateral (TA0008)	SSH (T1021.004)	El atacante utiliza una cuenta de servicio para moverse lateralmente dentro del entorno comprometido mediante conexiones SSH.
Colección (TA0009)	Datos de la Red Local (T1005)	El objetivo principal es la exfiltración de registros de llamadas, mensajes SMS y datos de sistemas de interceptación legal de empresas de telecomunicaciones. En el caso observado, se accedió a PII detallada de individuos.
Comando y Control (TA0011)	Protocolo No Estándar (T1095)	GRIDTIDE utiliza las APIs HTTP/HTTPS de Google Sheets, un protocolo y servicio perfectamente legítimo y estándar, para las comunicaciones C2.
Comando y Control (TA0011)	Canal de Comunicación Encubierto (T1001)	El comando se aloja en la celda `A1` y los datos se transfieren en las celdas `A2:An`. El malware sondea la celda de comando y espera respuestas, creando un canal de comunicación de baja y lenta.
Exfiltración (TA0010)	Exfiltración a través de C2 (T1041)	Los archivos robados se dividen en fragmentos de 45KB y se escriben directamente en las celdas de Google Sheets (`A2:An`) para su exfiltración.

Flujo de Ataque (Kill Chain)

Acceso Inicial: UNC2814 compromete un servidor CentOS (u otros sistemas perimetrales). El vector exacto no se detalla, pero el grupo es conocido por explotar servidores web.
Ejecución y Escalada de Privilegios: El atacante ejecuta el binario /var/tmp/xapt, que inicia un shell y verifica que se ha ejecutado como root (uid=0).
Reconocimiento y Preparación: El malware se ejecuta y realiza un reconocimiento inicial del host (usuario, IP, etc.), escribiendo esta información en la celda V1 de una hoja de cálculo de Google controlada por el atacante. Para ello, utiliza una clave criptográfica (xapt.cfg) que descifra la configuración de la cuenta de servicio de Google.
Establecimiento de Persistencia: El actor crea un servicio systemd (xapt.service) para asegurar que la puerta trasera se reinicie si el sistema se apaga o se reinicia.
Comando y Control (C2) Basado en Celdas:
- El malware sondea constantemente la celda A1 de la hoja de cálculo maliciosa.
- El atacante escribe un comando en esa celda con una sintaxis específica (C-<id>-<arg1>-<arg2> para ejecutar comandos, U-... para subir, D-... para descargar).
- GRIDTIDE lee el comando, lo ejecuta en el sistema de la víctima (ej. ls -la).
- La salida del comando se codifica y se escribe en las celdas A2:An de la hoja.
- El malware actualiza la celda A1 con un mensaje de éxito o error (S-<id>-R-...), indicando que la tarea ha finalizado.
Movimiento Lateral y Despliegue de Herramientas: El atacante, usando SSH, se mueve a otros sistemas. Descarga y despliega herramientas adicionales como el Puente SoftEtherVPN para crear un túnel cifrado y persistente hacia su infraestructura externa, facilitando la exfiltración masiva de datos.
Exfiltración de Datos: El atacante identifica y roba información sensible, como PII (nombres completos, números de ID, etc.) y, probablemente, registros de llamadas y SMS. Los archivos se exfiltran a través de la propia hoja de cálculo usando el comando de subida (U).

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Plataforma de C2 (Abusada)	Google Sheets API	Actúa como servidor de comando y control. Los comandos se leen de las celdas y los datos se escriben en ellas.
Cuentas de Servicio de Google	Cuentas de servicio de Google Workspace	Utilizadas por GRIDTIDE para autenticarse en la API de Google Sheets y acceder a la hoja de cálculo maliciosa.
Servidores C2 Tradicionales	130[.]94[.]6[.]228 y otros (ver IOCs)	Servidores utilizados para alojar y descargar herramientas adicionales como el binario GRIDTIDE, el Puente SoftEtherVPN y otros archivos (`apt.tar.gz`, `update.tar.gz`).
Servidores VPN	38[.]60[.]194[.]21 y otros (ver IOCs)	Servidores SoftEtherVPN del atacante para establecer conexiones cifradas de salida desde los entornos comprometidos y consolidar la exfiltración de datos.
Dominios C2 (Dinámicos)	1cv2f3d5s6a9w[.]ddnsfree[.]com, googlel[.]gleeze[.]com, y una larga lista de dominios en servicios DDNS.	Utilizados como direccionamiento para la infraestructura C2 y VPN, probablemente para hacerla más resiliente y fácil de cambiar.
Archivos de Configuración	`xapt.cfg`, `vpn_bridge.config`	Archivos en el host comprometido que contienen claves de cifrado y configuraciones para conectar con la infraestructura del atacante.

Objetivos y Sectores Atacados

Objetivo Principal: Proveedores de Telecomunicaciones a nivel mundial. El objetivo es acceder a sus redes para monitorizar comunicaciones, robar registros de llamadas y SMS, y posiblemente abusar de sus sistemas de interceptación legal para vigilar a individuos específicos.
Objetivo Secundario: Organizaciones Gubernamentales en diversos países. Para robar información diplomática, política o de inteligencia.
Objetivo Final de la Vigilancia: Individuos de interés para el gobierno de la RPC, incluyendo disidentes, activistas, y objetivos tradicionales de espionaje político y económico.
Sectores Prioritarios: Telecomunicaciones y Gobierno.
Distribución Geográfica: Global. Antes de la interrupción, se confirmaron víctimas en 42 países de África, Asia y América, con sospechas en al menos 20 países más (más de 70 países en total).

Impacto y Riesgo

Nivel de Riesgo: Crítico. La campaña representa una amenaza de espionaje patrocinado por un estado con un alcance verdaderamente global y un método de evasión muy efectivo.
Impacto Potencial:
- Compromiso de Redes Nacionales de Telecomunicaciones: Permite al atacante acceso a las comunicaciones de millones de personas.
- Vigilancia Masiva y Dirigida: Robo de registros de llamadas, contenido de SMS, y localización de individuos.
- Pérdida de Información Gubernamental Sensible: Filtración de documentos y comunicaciones diplomáticas o de seguridad nacional.
- Compromiso de Datos Personales (PII): Exposición de información personal detallada (nombre, ID, fecha de nacimiento) que puede ser usada para chantaje, desinformación o futuros ataques.
- Persistencia a Largo Plazo: La capacidad del grupo para operar durante casi una década demuestra su resiliencia y el peligro de no detectar y expulsar a tiempo a estos actores.
Carácter de la Amenaza: Demuestra la evolución de las técnicas de C2 para evadir defensas, abusando de la confianza en los servicios en la nube. Muestra cómo los grupos patrocinados por estados invierten en investigación y desarrollo para mantener sus operaciones sigilosas y efectivas a escala global.

Recomendaciones de Mitigación

Monitoreo de Red y Logs (Esencial):
- Implementar monitoreo para detectar conexiones de procesos no navegador (como curl, wget o binarios personalizados) a dominios y APIs de Google (especialmente sheets.googleapis.com). Las consultas UDM proporcionadas por Mandiant son un excelente punto de partida.
- Buscar patrones de tráfico inusuales hacia dominios DDNS y VPS de baja reputación (ver lista de IOCs).
Seguridad en Endpoints:
- Implementar soluciones EDR que monitoricen la creación de procesos en directorios sospechosos como /var/tmp y la posterior ejecución de shells.
- Vigilar la creación o modificación de archivos de configuración (*.cfg) en rutas del sistema como /usr/sbin o /var/tmp.
- Monitorear la creación de nuevos servicios systemd.
Gestión de Vulnerabilidades: Mantener parcheados y asegurados los servidores web y sistemas perimetrales, el vector de entrada histórico conocido del grupo.
Segmentación de Red: Limitar el movimiento lateral. Las cuentas de servicio no deberían poder usar SSH para moverse libremente entre sistemas críticos.
Autenticación Multifactor Robusta: Asegurar el acceso a consolas de administración y sistemas críticos, dificultando el uso de credenciales robadas.
Revisión de Permisos de Cuentas de Servicio: Aunque el abuso es de cuentas del atacante, sirve como recordatorio para revisar qué cuentas de servicio internas tienen acceso a APIs externas y por qué.

Herramientas de Detección

Google Security Operations (SecOps): Los clientes de Mandiant tienen acceso a reglas de detección específicas en el paquete Mandiant Hunting, como "Ejecución sospechosa de shell desde el directorio Var" o "Posible exfiltración de datos de la API de Hojas de cálculo de Google".
Consultas UDM: Las consultas proporcionadas en el informe original ayudan a buscar en los logs conexiones a la API de Google Sheets desde procesos no navegador y la creación de archivos de configuración en rutas inusuales.
Regla YARA: La regla YARA publicada por GTIG permite identificar muestras del binario GRIDTIDE en sistemas de archivos.
Monitoreo de Integridad de Archivos (FIM): Para detectar la creación no autorizada de binarios en /var/tmp o de servicios en /etc/systemd/system/.
Listas de IOCs: Las listas de IOCs publicadas (dominios, IPs, hashes) pueden ser ingeridas por firewalls, proxies, SIEMs y soluciones EDR para bloquear o alertar sobre actividad conocida.

Referencias y Fuentes

Google Threat Intelligence Group & Mandiant. (2026, Febrero 25). Exponiendo la corriente subyacente: Desmantelando la campaña global de ciberespionaje GRIDTIDE. (Informe técnico original).
MITRE ATT&CK Framework: Para el mapeo de TTPs.

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-03-02	1.0	Asistente de Wiki	Creación inicial de la entrada basada en el informe técnico de Google y Mandiant.

Indicadores de Compromiso (IOCs)

Tipo	Valor
SHA256 (GRIDTIDE)	ce36a5fc44cbd7de947130b67be9e732a7b4086fb1df98a5afd724087c973b47
SHA256 (xapt.cfg)	01fc3bd5a78cd59255a867ffb3dfdd6e0b7713ee90098ea96cc01c640c6495eb
SHA256 (Servicio systemd)	eb08c840f4c95e2fa5eff05e5f922f86c766f5368a63476f046b2b9dbffc2033
IP (Servidor de Descargas)	130[.]94[.]6[.]228
IP (Servidor SoftEther)	38[.]60[.]194[.]21
IP (Servidores C2/Atacante)	38[.]54[.]112[.]184, 195[.]123[.]211[.]70, 45[.]76[.]184[.]214, 65[.]20[.]104[.]91, y muchos otros (ver lista completa)
Dominio C2	1cv2f3d5s6a9w[.]ddnsfree[.]com
Dominio C2	googlel[.]gleeze[.]com
Dominio C2	updateservices[.]kozow[.]com
Dominio C2	vmtools[.]camdvr[.]org
URL Maliciosa	`http://130[.]94[.]6[.]228/apt.tar.gz`
URL Maliciosa	`http://130[.]94[.]6[.]228/update.tar.gz`
Agente de Usuario GRIDTIDE	`Directory API Google-API-Java-Client/2.0.0 Google-HTTP-Java-Client/1.42.3 (gzip)`
Agente de Usuario GRIDTIDE	`Google-HTTP-Java-Client/1.42.3 (gzip)`

Etiquetas / Categorías

malware backdoor espionaje apt china google-sheets c2 cloud-abuse telecomunicaciones gobierno unc2814 gridtide ciberwiki