Malware Sorvepotel no WhatsApp amplia campanha global de roubo bancário

A campanha de malware Sorvepotel, inicialmente identificada como uma ameaça focada no Brasil, evoluiu para uma operação global sofisticada que visa credenciais bancárias por meio de contas do WhatsApp comprometidas. Analistas de segurança observaram uma escalada significativa tanto na escala quanto nas capacidades técnicas desta família de malware bancário móvil.

Análise Técnica e Vetores de Infecção

O Sorvepotel se espalha principalmente por meio de ataques de engenharia social onde contas do WhatsApp comprometidas enviam links maliciosos para seus contatos. Esses links normalmente direcionam os usuários para sites falsos que imitam serviços legítimos ou solicitam downloads de arquivos APK maliciosos. O malware emprega várias técnicas avançadas para manter persistência e evadir detecção, incluindo:

• Carregamento dinâmico de código para evitar análise estática
• Capacidades de interceptação de SMS para capturar códigos de autenticação de dois fatores
• Ataques de sobreposição que exibem telas de login falsas sobre aplicativos bancários legítimos
• Funcionalidade de acesso remoto permitindo que invasores controlem dispositivos infectados

As variantes mais recentes demonstram métodos de ofuscação aprimorados e expandiram sua lista de alvos para incluir instituições financeiras na América do Norte, Europa e regiões da Ásia-Pacífico, movendo-se além de seu foco original latino-americano.

Impacto Global e Evolução da Campanha

Dados de telemetria recentes indicam que a campanha infectou milhares de dispositivos em todo o mundo, com clusters concentrados no Brasil, México, Colômbia e Espanha. Os operadores do malware demonstraram capacidades de adaptação rápida, atualizando sua infraestrutura e métodos de ataque aproximadamente a cada 72 horas para manter a eficácia contra medidas de segurança.

Instituições financeiras estão relatando incidentes aumentados de tentativas de tomada de conta vinculadas a infecções por Sorvepotel. A capacidade do malware de contornar a autenticação multifatorial por meio da interceptação de SMS representa um desafio significativo para os controles de segurança tradicionais.

Estratégias de Detecção e Mitigação

Pesquisadores de segurança recomendam várias abordagens de mitigação chave:

• Implementar listagem de permissão de aplicativos para prevenir instalações não autorizadas de APK
• Implantar soluções de defesa contra ameaças móveis com capacidades de análise comportamental
• Educar usuários sobre como reconhecer tentativas de engenharia social por meio de plataformas de mensagens
• Habilitar métodos de autenticação avançados que não dependam exclusivamente de SMS
• Monitorar atividade incomum em contas e alterações na impressão digital do dispositivo

As organizações também devem considerar implementar sistemas de monitoramento de transações que possam detectar comportamentos bancários anômalos potencialmente vinculados a dispositivos comprometidos.

A rápida evolução do Sorvepotel destaca a crescente sofisticação do malware bancário móvel e a necessidade de adaptação contínua de segurança. À medida que as plataformas de mensagem permanecem centrais para a comunicação diária, o potencial de impacto generalizado por meio desses vetores de infecção continua aumentando.

Projeções futuras sugerem que campanhas semelhantes provavelmente se expandirão para outras plataformas de mensagem populares, exigindo que equipes de segurança desenvolvam estratégias abrangentes de segurança móvel que abordem fatores técnicos e vulnerabilidades humanas.