Sorvepotel: vírus que ameaça o WhatsApp e expõe usuários no Brasil

O Sorvepotel, um malware de rápida propagação, emergiu como uma ameaça cibernética significativa no Brasil, utilizando o WhatsApp como seu principal vetor de disseminação. Este artigo aprofundado explora a natureza do Sorvepotel, sua associação com a campanha Water Saci, e os riscos que representa para usuários e empresas em território nacional. Com a crescente sofisticação dos ciberataques, compreender a arquitetura e o modus operandi de malwares como o Sorvepotel é o primeiro passo para uma defesa digital eficaz.

Somos uma empresa especializada em Tecnologia da Informação.
Atendemos presencialmente as cidades de Belo Horizonte e região metropolitana, e oferecemos atendimento remoto para Rio de Janeiro, São Paulo, Salvador, Brasília, Vitória, Goiânia e Porto Alegre.
Atuamos com soluções e serviços de TI personalizados (outsourcing) e disponibilizamos profissionais capacitados para atuar in loco.
Para demais localidades, consulte a viabilidade através do e-mail comercial@4infra.com.br.

O que é o vírus Sorvepotel e como ele surgiu

O vírus Sorvepotel é um malware complexo, identificado como parte da campanha Water Saci, que visa principalmente sistemas Windows. Sua arquitetura é projetada para velocidade e propagação, em vez de roubo de dados ou ransomware em um primeiro momento. Pesquisas da Trend Micro indicam que a grande maioria das infecções está concentrada no Brasil, com alvos que vão desde órgãos governamentais e de serviço público até setores de manufatura, tecnologia e educação.

O nome "Sorvepotel" parece ser uma criação dos próprios desenvolvedores do malware, com domínios como sorvetenopoate.com e sorvetenopotel.com sendo usados como servidores de comando e controle (C&C). O malware é distribuído através de arquivos ZIP maliciosos que contêm um arquivo de atalho do Windows (.LNK). Este atalho, quando executado, inicia um script PowerShell que baixa e executa o payload principal do malware.

A escolha do WhatsApp como plataforma de ataque não é acidental. A confiança inerente que os usuários depositam em mensagens de contatos conhecidos é o que torna o Sorvepotel tão perigoso. Este malware explora a engenharia social de uma forma muito eficaz, transformando cada vítima em um novo propagador da ameaça.

Como o Sorvepotel se espalha pelo WhatsApp

A infecção pelo Sorvepotel inicia-se com uma mensagem de phishing recebida via WhatsApp, geralmente de um contato já comprometido, o que confere uma falsa sensação de legitimidade. Essas mensagens contêm um anexo ZIP com nomes como "RES-20250930_112057.zip" ou "ORCAMENTO_114418.zip", disfarçados de documentos inofensivos como recibos ou orçamentos. A mensagem, escrita em português, incentiva o usuário a "baixa o zip no PC e abre" (baixar o ZIP no PC e abrir).

Ao extrair o arquivo ZIP, a vítima encontra um arquivo de atalho do Windows (.LNK). A execução deste arquivo .LNK desencadeia um script de linha de comando ou PowerShell que baixa o payload principal do malware de domínios controlados pelos atacantes, como sorvetenopoate.com. Uma vez no sistema, o Sorvepotel verifica se o WhatsApp Web está ativo e, em caso afirmativo, utiliza a sessão para enviar automaticamente o mesmo arquivo ZIP malicioso para todos os contatos e grupos do usuário comprometido, garantindo uma rápida propagação.

Dica de segurança: Desconfie sempre de arquivos ZIP ou executáveis (.exe, .lnk, .bat) enviados via WhatsApp, mesmo que venham de contatos conhecidos. Verifique a autenticidade da mensagem diretamente com o remetente por outro canal de comunicação antes de abrir qualquer anexo.

Principais riscos e impactos do Sorvepotel

Inicialmente, a campanha Water Saci com o Sorvepotel foi projetada para velocidade e propagação, mas análises mais aprofundadas da Trend Micro revelaram que o malware possui capacidades de infostealer, visando instituições financeiras e exchanges de criptomoedas no mercado brasileiro. Os principais riscos e impactos incluem: