Sorvepotel: o que é o vírus que vem atacando o WhatsApp no Brasil?

Arquivo malicioso se espalha pelo WhatsApp Web (ilustraçãao: Vitor Pádua/Tecnoblog)

• O Sorvepotel é um malware que simula arquivos legítimos para monitorar atividades financeiras e roubar senhas, principalmente no Brasil.

• O malware é distribuído via WhatsApp e email, disfarçado como arquivos ZIP que parecem ser recibos, comprovantes ou documentos de saúde.

• Ao ser executado, o malware replica mensagens no WhatsApp Web e baixa um trojan que monitora acessos a sites bancários, exibindo páginas falsas para capturar dados.

Uma campanha envolvendo o malware Sorvepotel está ocorrendo principalmente no Brasil, com distribuição via WhatsApp no computador e também via email. O programa malicioso visa monitorar atividades bancárias das vítimas e roubar senhas.

O que é o Sorvepotel?

O Sorvepotel é um malware, nome dado a um programa com fins escusos. Em uma das fases do ataque, ele se conecta a diversos endereços da web derivados da expressão “sorvete no pote” — daí o seu nome. Empresas de cibersegurança também atribuíram o nome “Water Saci” à campanha.

Anexo infecta máquina e passa a monitorar atividade do navegadorEssa campanha tem distribuído o programa por meio de um arquivo ZIP enviado por WhatsApp. Esse arquivo geralmente se passa por um recibo, comprovante ou orçamento. Em alguns casos, o disfarce é relacionado à saúde. O email pode ser outro vetor de contaminação.

O Brasil é a principal vítima do Sorvepotel. Segundo a Trend Micro, dos 477 casos identificados até o momento, 457 estão no país.

O que o Sorvepotel faz?

A mensagem recomenda baixar o anexo em um computador e não no celular. Ao abrir o ZIP, há um atalho (no formato LNK, que funciona no Windows) que, quando executado, faz o dispositivo se conectar a um servidor externo e realizar diversas atividades.

Uma delas é usar o próprio WhatsApp Web para replicar a mensagem e enviar o arquivo ZIP para mais pessoas. Em alguns casos, os usuários vêm sendo banidos pelo mensageiro da Meta por envio de spam.

Outra atividade do falso atalho é baixar um trojan, que monitora a atividade do navegador da vítima e checa se o usuário está acessando o site de um banco ou de uma empresa de criptomoedas.

Fonte: Tecnoblog