Um novo trojano de acesso remoto (RAT) identificado como SHEETCREEP tem sido utilizado por grupos de cibercriminosos para comprometer organizações diplomáticas, utilizando a infraestrutura do Google Sheets como canal de comando e controle (C2). A campanha, que começou a ser documentada em janeiro de 2026, apresenta uma evolução significativa nas técnicas de evasão e persistência, dificultando a detecção por ferramentas de segurança convencionais.
Descoberta e escopo da campanha
Os pesquisadores da Securonix identificaram a campanha de espionagem e publicaram um relatório detalhado compartilhado com o Cyber Security News. A análise revelou que o malware é capaz de se comunicar diretamente com planilhas do Google, explorando a confiança que as organizações depositam em plataformas de produtividade amplamente utilizadas. Durante a análise, a equipe extraiu credenciais codificadas no binário do RAT e autenticou-se diretamente na planilha de comando e controle, descobrindo 91 abas de vítimas ativas no momento da investigação.
Entre as abas identificadas, a equipe localizou 17 alvos potenciais reais com hardware físico e sem indicadores de sandbox, demonstrando a eficácia da técnica de ofuscação. Um alvo de alta confiança foi confirmado em Islamabad, no Paquistão, ilustrando o quão profundamente o malware havia se infiltrado na rede de vítimas.
Vetor de infecção e engenharia social
O malware é distribuído através de e-mails de phishing disfarçados como documentos oficiais sobre a "Semana da Parceria Estratégica Emirados-Índia". As vítimas recebem um arquivo ISO, que contém um atalho que parece ser um PDF, mas que executa silenciosamente o dropper malicioso ao ser duplo-cliqueado. Essa técnica de engenharia social explora a confiança natural que as pessoas depositam em comunicações governamentais que parecem completamente legítimas.
O arquivo ISO contém um executável C# chamado Document_11052026-03578240540350-93.exe, que atua como dropper para baixar e executar o payload principal, o vaultsvc.exe. O payload é armazenado na pasta legítima do Windows Credential Vault, o que aumenta a chance de passar despercebido por usuários e ferramentas de segurança baseadas em heurísticas de caminho.
Análise técnica detalhada do SHEETCREEP
O SHEETCREEP RAT é escrito em C# e pesa apenas cerca de 20 KB, mas possui funcionalidades completas de execução de comandos, coleta de dados e reporte aos atacantes. A comunicação ocorre inteiramente através da API do Google Sheets sobre HTTPS, fazendo com que o tráfego pareça idêntico à atividade normal do Google Workspace. Os comandos são escritos em uma coluna da planilha e as respostas são enviadas para outra coluna, com todos os dados codificados em Base64.
Uma das características mais notáveis do SHEETCREEP é a forma deliberada como ele evita a detecção em todas as etapas. Em vez de iniciar o PowerShell como um programa separado, o RAT executa comandos inteiramente dentro da memória do seu próprio processo, deixando nenhum processo filho visível para ferramentas de monitoramento de segurança. Isso torna extremamente difícil para os analistas de SOC rastrear a atividade maliciosa usando logs de processo padrão.
Além disso, o malware oculta seu executável usando atributos de arquivo Oculto e Sistema dentro de um caminho de diretório que se assemelha a uma pasta de sistema padrão do Windows. Para persistência, ele instala uma tarefa agendada chamada WindowsVaultSyncService com uma descrição enganosa criada para parecer inofensiva durante uma revisão manual. A tarefa é executada a cada login do usuário, mantendo o acesso dos atacantes vivo indefinidamente.
Técnicas de evasão e ofuscação
Os atores de ameaças atualizaram suas ferramentas para tornar a detecção mais difícil, substituindo configurações de texto simples por strings criptografadas XOR que são decodificadas apenas em tempo de execução. As strings de configuração do C2, incluindo o ID da planilha e o email da conta de serviço, são criptografadas XOR com a chave "discrete" e decodificadas apenas em tempo de execução, tornando a análise estática consideravelmente mais difícil para as equipes de segurança.
Se o malware detectar ferramentas de análise ativas, como dnSpy ou Wireshark, ele força uma reinicialização imediata do sistema para interromper qualquer investigação em andamento. Essa capacidade de detecção de sandbox e análise é um indicativo de sofisticação avançada, frequentemente associada a grupos de APT (Ameaça Persistente Avançada).
Indicadores de comprometimento (IoCs)
Os pesquisadores forneceram uma lista detalhada de indicadores de comprometimento que as organizações devem monitorar em seus ambientes. Abaixo estão os principais IoCs identificados:
- Hash SHA256 do arquivo:
1ba67bb1cfad42446880cca53cbd05fe66d7514b2bb139b48e5c63adff14be7b(arquivo de infecção inicial) - Hash SHA256 do dropper:
2cc7c2d8653c98e5bac32fcaf5e45b861efb4bb87df3b3f96285edb475e75bba - Hash SHA256 do payload:
62d62950ff7a0e43550a5d0ba55d32d5083b9de5538e0f012e406b6d951e16aa(vaultsvc.exe) - Endereço IP:
142.251.223.42(endpoint C2 da API do Google) - Domínio:
sheets.googleapis.com(canal C2) - Domínio:
oauth2.googleapis.com(endpoint de autenticação OAuth2) - Email da conta de serviço:
sheet5-495707@sheetcreep-serviceaccount.iam.gserviceaccount.com - ID da planilha C2:
1Lb5BEIsehbCGe8p1jkfWf5Mw1dBAcw5RHWFdga5gFq8 - ID do projeto GCP:
sheet5-495707 - Nome da tarefa agendada:
WindowsVaultSyncService - Caminho do arquivo:
%LOCALAPPDATA%\Microsoft\Vault\vaultsvc.exe - Mutex:
Global\WinSync_- -<4char-hash>
Implicações para a segurança corporativa
A campanha SHEETCREEP representa uma ameaça significativa para organizações que utilizam ferramentas de produtividade em nuvem, especialmente aquelas que lidam com dados sensíveis ou governamentais. O uso da API do Google Sheets como C2 explora a confiança inerente nessas plataformas, tornando o tráfego malicioso indistinguível do tráfego legítimo para muitas ferramentas de segurança de rede.
Para mitigar esse risco, as organizações devem evitar abrir anexos de arquivo ISO não solicitados e monitorar a presença de executivos inesperados no diretório do Windows Vault. Além disso, é crucial monitorar tarefas agendadas registradas através de COM em vez da linha de comando padrão e sinalizar processos não navegadores que fazem conexões repetidas aos endpoints da API do Google Sheets.
O que os CISOs devem fazer imediatamente
Os profissionais de segurança devem implementar as seguintes medidas para proteger suas redes contra a ameaça SHEETCREEP:
- Monitoramento de API: Implemente regras de detecção para tráfego incomum da API do Google Sheets originado de processos não navegadores.
- Hardening de Endpoints: Utilize ferramentas como Sysmon para capturar atividade de PowerShell dentro do processo que logs convencionais poderiam perder.
- Revisão de Tarefas Agendadas: Audite regularmente as tarefas agendadas no Windows, procurando por nomes suspeitos ou descrições enganosas.
- Conscientização: Treine usuários para identificar e-mails de phishing que se passam por comunicações governamentais ou oficiais.
Perguntas frequentes
Qual é a principal diferença entre SHEETCREEP e outros RATs?
A principal diferença é o uso da API do Google Sheets como canal de comando e controle, o que torna o tráfego malicioso indistinguível do tráfego legítimo.
Como posso verificar se meu sistema foi comprometido?
Verifique a presença do arquivo vaultsvc.exe no diretório %LOCALAPPDATA%\Microsoft\Vault\ e procure pela tarefa agendada WindowsVaultSyncService.
O grupo por trás do ataque é conhecido?
Analistas avaliam com confiança moderada que a campanha está ligada ao APT36, também conhecido como Transparent Tribe, um grupo alinhado ao Paquistão com histórico de atacar instituições governamentais e militares indianas.