SORVEPOTEL: o malware que você espalha

Nos últimos dias foi identificada uma campanha ativa que usa o WhatsApp Web para se autopropagar em computadores com Windows. O malware, chamado SORVEPOTEL, já foi detectado em 477 infecções, 457 delas no Brasil. Órgãos públicos e empresas privadas de diversos setores foram afetados. Não é prova de conceito, é produção.

A seguir explico a cadeia de ataque, os efeitos práticos após a infecção, por que o Brasil é o epicentro e, principalmente, o que pode ser feito agora para reduzir risco em casa e na empresa.

Como o golpe acontece, do ZIP ao spam em massa

1. A isca chega pelo WhatsAppA mensagem vem de um contato real que já foi comprometido. O anexo é um arquivo ZIP com nomes que simulam documentos legítimos, e o texto incentiva a abrir o arquivo no computador. Em alguns casos o arquivo também chegou por e-mail com remetentes que parecem confiáveis.

2. Dentro do ZIP há um atalho do WindowsAo clicar no atalho, comandos ocultos em PowerShell ou cmd são executados, baixando o payload a partir de servidores controlados pelos criminosos.

3. Persistência e segundo estágioO payload costuma instalar um script que se copia para a pasta de Inicialização do Windows para garantir persistência, e executa código ofuscado que busca novas cargas em servidores de comando e controle.

4. Aproveitando o WhatsApp WebSe houver uma sessão ativa do WhatsApp Web no PC, o malware automatiza o navegador, usando componentes que simulam interações humanas para enviar o mesmo ZIP para todos os contatos e grupos do usuário. O envio em massa pode causar o banimento da conta do WhatsApp por spam.

5. 
   

O que o SORVEPOTEL faz depois de entrar

Além da propagação via WhatsApp Web, o SORVEPOTEL pode carregar módulos adicionais. Foram observados loaders em PowerShell que executam componentes em memória, injetam código em processos do sistema, monitoram janelas do navegador e aplicam sobreposições para roubo de credenciais. O foco inclui serviços bancários e plataformas de pagamento populares. Em alguns casos, módulos de segundo estágio atuam como ladrões de sessão ou coletores de credenciais.

Por que o Brasil virou o epicentro

A grande maioria das detecções ocorreu no Brasil, e os artefatos e mensagens estão em português, indicando foco claro no mercado local. O uso intensivo do WhatsApp no fluxo de trabalho de equipes e órgãos públicos, combinado com práticas de BYOD, criou uma superfície de ataque favorável. Mensagens que parecem vir de contatos conhecidos aumentam drasticamente a chance de abertura do anexo.

O que fazer agora — recomendações práticas

Para qualquer usuário

• Desative o download automático no WhatsApp Web e no aplicativo desktop. Isso reduz a chance de arquivos maliciosos serem baixados sem seu consentimento.

• Revogue sessões do WhatsApp Web que não reconheça, usando a opção de dispositivos conectados no celular.

• Ative a verificação em duas etapas no WhatsApp e registre um e-mail de recuperação.

• Tenha como regra: ZIP solicitando que você "abra no PC" é suspeito mesmo quando enviado por um contato conhecido. Confirme por outro canal antes de abrir.

• 
  

Para equipes de TI e segurança

• Bloqueie anexos e atalhos suspeitos nas entradas de e-mail e nas bordas da rede.

• Defina políticas para uso de aplicativos pessoais em dispositivos corporativos. Se a empresa precisa usar WhatsApp Web, aplique controles para desativar download automático e avaliar transferência de arquivos.

• Endureça o ambiente de scripts: registre execuções de PowerShell e monitore padrões como execução de comandos ofuscados, downloads diretos e criação de arquivos em pastas temporárias.

• Implemente controles de aplicação para impedir execução de scripts e executáveis a partir de pastas de download e temporárias.

• Monitore processos e arquivos associados à automação de navegadores que não sejam esperados em estações de trabalho padrão.

  
  

Indicadores operacionais observados

• Arquivos ZIP contendo atalhos do Windows que, quando executados, disparam PowerShell ofuscado.

• Persistência por meio de scripts colocados na pasta de Inicialização do usuário.

• Automação do navegador para enviar mensagens via WhatsApp Web, com criação de componentes temporários para controlar o navegador.

  
  

Se você foi infectado

1. Isole a máquina da rede imediatamente.

2. Revogue sessões do WhatsApp Web pelo celular e avise seus contatos para não abrirem anexos recebidos.

3. Execute uma varredura completa com EDR ou antivírus atualizado.

4. Colete artefatos relevantes para análise: arquivos temporários, itens na pasta de Inicialização e logs de execução de scripts.

5. Troque credenciais que possam ter sido usadas no dispositivo, especialmente acesso a serviços financeiros.

6. Atualize bloqueios e regras nos controles de segurança para impedir novas comunicações para os servidores observados pela equipe de resposta.

   
   

Por que essa campanha funciona tão bem

O sucesso da campanha vem da combinação de engenharia social, confiança do usuário nas mensagens de contatos conhecidos, e automação que transforma uma única abertura em uma propagação em massa. O uso do WhatsApp Web como vetor facilita a escala, porque muitos profissionais mantêm sessões ativas no computador como parte do fluxo de trabalho.

Como reforçar a postura de segurança na empresa

Trate o WhatsApp Web como um aplicativo que pode impactar a segurança corporativa. Defina políticas claras, comunique riscos aos colaboradores, restrinja downloads automáticos em ambientes gerenciados e monitore anomalias relacionadas ao uso do navegador e execução de scripts. Treinamento focado em não abrir anexos suspeitos, mesmo de contatos conhecidos, é simples e eficiente.

Conclusão

O SORVEPOTEL não é apenas mais um malware para WhatsApp. Ele combina engenharia social com automação de navegador e técnicas de persistência para escalar rápido, com foco no nosso ecossistema. Higiene digital básica corta grande parte da cadeia de ataque, e ajustes de política e de detecção reduzem muito a janela de oportunidade dos atacantes.

Se quiser, adapto este conteúdo para um comunicado interno aos colaboradores ou para um runbook operacional de resposta a incidentes pronto para ser usado pela sua equipe de TI.