Malware Sorvepotel do WhatsApp se espalha globalmente atacando plataformas bancárias e de criptomoedas

Uma campanha sofisticada de malware direcionada a usuários do WhatsApp escalou de ataques financeiros regionais no Brasil para uma ameaça global afetando múltiplos países europeus. Pesquisadores de segurança identificaram o Sorvepotel como a principal família de malware por trás desta operação em expansão, que combina capacidades técnicas avançadas com táticas de engenharia social para comprometer tanto comunicações pessoais quanto dados financeiros.

A campanha inicialmente emergiu no Brasil sob o nome 'Water Saci', direcionada especificamente a aplicativos bancários e corretoras de criptomoedas. O malware demonstrou técnicas sofisticadas de overlay que imitam interfaces bancárias legítimas, enganando usuários para inserir credenciais que são então coletadas pelos atacantes. Esta variante brasileira estabeleceu a infraestrutura fundamental que posteriormente suportaria a expansão internacional do malware.

Análises recentes revelam que o Sorvepotel evoluiu além de seu direcionamento financeiro original para incorporar capacidades de tomada de controle de contas do WhatsApp. O malware agora possui a capacidade de sequestrar sessões legítimas do WhatsApp e se propagar através de listas de contatos, criando uma cadeia de infecção auto-sustentável. Este método de propagação permitiu que a campanha se espalhasse rapidamente pela Europa, com a Alemanha relatando taxas de infecção significativas tanto em usuários individuais quanto em contas institucionais.

O exame técnico de amostras do Sorvepotel mostra que o malware emprega múltiplas técnicas de evasão para evitar detecção. Estas incluem carregamento dinâmico de código, criptografia de payloads maliciosos e o uso de canais de distribuição de aparência legítima. A arquitetura modular do malware permite que atacantes atualizem a funcionalidade remotamente, adaptando-se a novos alvos e medidas de segurança conforme a campanha progride.

As infecções europeias demonstram novas capacidades preocupantes, incluindo a habilidade de burlar autenticação multifatorial em algumas implementações e manter acesso persistente a dispositivos comprometidos. Pesquisadores observaram o malware estabelecendo comunicações de backdoor com servidores de comando e controle, permitindo exfiltração de dados em tempo real e controle remoto de dispositivos infectados.

Instituições financeiras e agências de cibersegurança nas regiões afetadas emitiram alertas sobre a ameaça crescente. A combinação do malware de direcionamento financeiro e comprometimento de plataformas de comunicação cria um cenário de dupla ameaça onde atacantes podem não apenas roubar fundos, mas também alavancar contas comprometidas para mais ataques de engenharia social.

Profissionais de segurança notam que o Sorvepotel representa uma evolução significativa nas capacidades de trojans bancários móveis. A rápida adaptação do malware do direcionamento financeiro regional para o comprometimento global de plataformas de comunicação demonstra a crescente sofisticação de atores de ameaças móveis. O sucesso da campanha destaca desafios contínuos na segurança de aplicativos móveis e a necessidade de capacidades de detecção aprimoradas especificamente adaptadas a ataques de overlay e abuso de plataformas de comunicação.

Organizações são aconselhadas a implementar medidas de segurança adicionais para funcionários usando dispositivos móveis para comunicações empresariais, particularmente aqueles acessando sistemas financeiros ou dados corporativos sensíveis. Contramedidas recomendadas incluem whitelisting de aplicativos, ferramentas de análise comportamental e monitoramento aprimorado para padrões de atividade anômala no WhatsApp.

A comunidade global de segurança continua monitorando a evolução do Sorvepotel, com pesquisadores trabalhando para desenvolver assinaturas de detecção mais efetivas e estratégias de mitigação. Como a campanha demonstra desenvolvimento contínuo e adaptação, equipes de segurança devem permanecer vigilantes para novas variantes e metodologias de ataque emergindo deste grupo de atores de ameaças.