Golpe cibernético Sorvepotel espalha vírus por arquivos ZIP no WhatsApp brasileiro

Cibercriminosos lançaram uma campanha de malware chamada Sorvepotel, que se espalha rapidamente pelo WhatsApp no Brasil desde setembro de 2025. O programa malicioso, identificado por especialistas em segurança, atinge principalmente sistemas Windows e foca em roubar informações financeiras de usuários e empresas. A propagação ocorre por meio de mensagens de phishing com arquivos ZIP disfarçados de documentos legítimos, como recibos ou orçamentos.

De acordo com análises recentes, o Brasil registra 457 dos 477 casos detectados globalmente, com ênfase em setores públicos e privados. A infecção começa quando o usuário abre o arquivo em um computador, permitindo que o vírus assuma o controle da sessão do WhatsApp Web. Essa ação leva à replicação automática para contatos e grupos, resultando em banimentos de contas por spam em diversos incidentes.

A campanha, conhecida como Water Saci, prioriza alvos corporativos ao exigir abertura do arquivo em desktop. Criminosos utilizam servidores com domínios que remetem à expressão “sorvete no pote”, o que dá nome ao malware. Especialistas confirmam que o vírus verifica configurações locais, como idioma e fuso horário, para confirmar vítimas brasileiras.

Origem e distribuição do Sorvepotel

O malware chega via WhatsApp em mensagens que simulam comunicações rotineiras entre contatos. Arquivos ZIP contêm atalhos LNK que, ao executados, ativam scripts em PowerShell para instalar o payload. Essa técnica ofusca o código com Base64 e domínios falsos, dificultando a detecção por antivírus comuns.

Distribuição ocorre também por e-mail, mas o foco principal é o mensageiro, explorando a confiança em remetentes conhecidos. Casos iniciais surgiram em setembro de 2025, com pico em outubro, afetando organizações em manufatura, educação e bancos. A replicação automática acelera a disseminação, transformando uma única infecção em centenas em horas.

Empresas relatam interrupções em sessões de trabalho devido ao spam gerado. Analistas observam que o vírus não criptografa arquivos, mas prepara o terreno para fraudes financeiras subsequentes.

Mecanismos de infecção e roubo

O Sorvepotel estabelece persistência no sistema logo após a execução inicial. Ele monitora a navegação do usuário em tempo real, identificando acessos a sites de bancos como Banco do Brasil, Bradesco e Itaú. Quando detecta uma transação, o malware injeta páginas falsas sobrepostas para capturar senhas e tokens de autenticação.

• Replicação: Envia o ZIP malicioso para todos os contatos via WhatsApp Web ativo.
• Monitoramento: Registra teclas digitadas e tira capturas de tela durante logins financeiros.
• Injeção: Cria overlays que bloqueiam interações legítimas e redirecionam dados para servidores remotos.
• Persistência: Modifica entradas de inicialização para sobreviver a reinicializações.

Essas etapas ocorrem em sequência, com o vírus coletando informações de navegadores como Chrome e Firefox. Alvos incluem plataformas de criptomoedas como Binance e Mercado Bitcoin, ampliando o risco de perdas financeiras.

A detecção precoce depende de alertas sobre tráfego suspeito para domínios como “sorvetenopotel”. Usuários infectados notam lentidão no sistema e envios não autorizados de mensagens.

Setores mais atingidos pela campanha

Governo e serviços públicos lideram as infecções, com relatos de paralisação temporária em redes nacionais. Setor bancário segue, onde o roubo de credenciais compromete operações diárias. Manufatura e educação também registram casos, com vazamento de dados internos em alguns incidentes.

Empresas de tecnologia enfrentam desafios em conter a propagação interna. Construção e comércio relatam poucas ocorrências, mas o risco persiste devido ao uso de WhatsApp em ambientes corporativos. Análises indicam que 80% das vítimas usam Windows 10 ou superior, facilitando a instalação.

Treinamentos internos revelam falhas em políticas de uso de dispositivos pessoais. Setores regulados, como finanças, implementam atualizações para bloquear scripts PowerShell não autorizados. A concentração geográfica reforça a necessidade de monitoramento localizado.

Medidas preventivas para usuários

Usuários comuns devem desativar downloads automáticos no WhatsApp para evitar aberturas acidentais. Verificação de remetentes por chamadas de voz previne cliques em anexos suspeitos. Atualizações regulares de software e uso de antivírus com detecção de comportamento reduzem vulnerabilidades.

Empresas adotam bloqueio de transferências via apps pessoais em redes corporativas. Políticas de BYOD incluem separação de ambientes por conteinerização, isolando dados sensíveis. Treinamentos mensais alertam sobre phishing, com simulações de ataques para reforçar hábitos seguros.

• Desconectar sessões do WhatsApp Web após uso.
• Escanear arquivos ZIP antes de abrir em desktops.
• Ativar autenticação em duas etapas em contas financeiras.
• Monitorar logs de navegação por acessos não reconhecidos.

Essas ações limitam a propagação e protegem contra injeções de páginas falsas. Especialistas enfatizam a importância de relatar incidentes a equipes de TI imediatamente.

Funcionamento técnico do payload

O payload principal, Maverick.Agent, executa comandos remotos para coletar dados de sistema e aplicativos instalados. Ele injeta caracteres em campos de login para burlar verificações de segurança. Overlays falsos mimetizam interfaces de bancos, capturando digitação em tempo real.

Scripts batch garantem execução inicial, baixando módulos adicionais de servidores controlados por atacantes. O vírus evita detecção ao operar em processos legítimos do Windows. Análises de código revelam adaptações para configurações brasileiras, como formatos de data DD/MM/YYYY.

Persistência ocorre via chaves de registro que reiniciam o malware a cada boot. Capacidade de bloquear mouse e teclado durante fraudes aumenta a taxa de sucesso em capturas. Atualizações de segurança em plataformas como Trend Vision One bloqueiam esses comandos.

Expansão além das finanças

Além de bancos, o Sorvepotel mira exchanges de criptoativos, onde valores voláteis amplificam prejuízos. Usuários de Mercado Pago e Santander relatam tentativas de acesso não autorizado. Setor de saúde vê disfarces em documentos médicos para infectar profissionais.

Organizações públicas enfrentam riscos de interrupção em serviços essenciais devido à replicação em massa. Analistas preveem adaptações do código para outros idiomas, mas o foco atual permanece no português. Monitoramento de tráfego revela tentativas em países vizinhos, como Colômbia.

Prevenção envolve auditorias regulares de sessões ativas em mensageiros. Empresas investem em firewalls que filtram domínios suspeitos relacionados à campanha.