Malware Sorvepotel do WhatsApp amplia campanha de roubo bancário no Brasil com novos vetores de ataque

A campanha do malware Sorvepotel escalou significativamente suas operações contra instituições financeiras brasileiras, introduzindo novos vetores de ataque sofisticados que exploram sessões do WhatsApp Web para comprometer credenciais bancárias em mais de 20 bancos importantes. Esta evolução representa uma das operações de cavalo de troia bancário mais avançadas atualmente visando os mercados financeiros latino-americanos.

Analistas de segurança identificaram que o Sorvepotel agora emprega um processo de infecção multiestágio que começa com ataques de engenharia social entregues por meio de contas do WhatsApp comprometidas ou mensagens de phishing. Uma vez que os usuários interagem com links maliciosos, o malware instala payloads que visam especificamente sessões do WhatsApp Web, permitindo que os atacantes mantenham acesso persistente às plataformas de mensagens das vítimas.

A sofisticação técnica do Sorvepotel está em sua capacidade de interceptar códigos de autenticação de dois fatores e tokens de sessão enquanto captura simultaneamente credenciais bancárias por meio de ataques de sobreposição e keylogging. O malware demonstra técnicas avançadas de evasão, incluindo a capacidade de contornar muitas soluções de segurança móvel por meio de mascaramento de aplicativo legítimo e carregamento dinâmico de código.

A análise recente da campanha revela que o Sorvepotel expandiu sua lista de alvos além dos aplicativos bancários tradicionais para incluir plataformas de investimento, carteiras digitais e serviços financeiros governamentais. Este escopo ampliado indica a adaptação dos atacantes ao ecossistema financeiro digital brasileiro em evolução, onde os usuários dependem cada vez mais de múltiplos aplicativos financeiros para transações diárias.

O vetor de infecção tipicamente envolve táticas de engenharia social onde as vítimas recebem mensagens aparentemente vindas de contatos confiáveis ou fontes oficiais. Essas mensagens contêm links que redirecionam para sites maliciosos hospedando o payload do Sorvepotel. Uma vez instalado, o malware obtém permissões extensas que permitem monitorar a atividade do dispositivo, capturar screenshots durante sessões bancárias e interceptar mensagens SMS contendo códigos de autenticação.

O que torna o Sorvepotel particularmente perigoso é sua integração com o WhatsApp Web. Ao comprometer sessões do WhatsApp, os atacantes podem manter acesso mesmo após a infecção inicial ser detectada e removida do dispositivo móvel. Este mecanismo de persistência representa um avanço significativo sobre os cavalos de troia bancários brasileiros anteriores.

Profissionais de segurança notaram que o Sorvepotel emprega várias técnicas de análise anti-análise, incluindo detecção de ambiente e execução atrasada quando aplicativos de segurança são detectados. O malware também usa canais de comunicação criptografados para exfiltrar dados roubados para servidores de comando e controle, tornando a detecção e análise mais desafiadoras para pesquisadores de segurança.

Organizações operando no Brasil devem implementar medidas de segurança abrangentes incluindo whitelisting de aplicativos, monitoramento de rede para conexões de saída suspeitas e educação de funcionários sobre riscos de engenharia social. A autenticação multifator permanece crucial, embora organizações devam considerar implementar chaves de segurança de hardware ou autenticadores baseados em aplicativo em vez de 2FA baseado em SMS, que o Sorvepotel pode interceptar.

O impacto econômico desta campanha é substancial, com estimativas preliminares sugerindo milhões em perdas potenciais nas instituições financeiras-alvo. O Banco Central do Brasil e as autoridades de cibersegurança emitiram alertas para instituições financeiras, recomendando monitoramento aprimorado para padrões de transação incomuns e implementando etapas de verificação adicionais para operações de alto valor.

À medida que a campanha continua evoluindo, pesquisadores de segurança antecipam mais adaptações, incluindo potencial expansão para outras plataformas de mensagens e aumento do targeting de contas bancárias corporativas. A operação Sorvepotel demonstra a sofisticação crescente do malware financeiro visando mercados emergentes e destaca a necessidade de adaptação contínua de segurança face a ameaças em evolução.