Malware Sorvepotel de WhatsApp se propaga globalmente atacando plataformas bancarias y de criptomonedas

Una campaña sofisticada de malware dirigida a usuarios de WhatsApp ha escalado desde ataques financieros regionales en Brasil hasta convertirse en una amenaza global que afecta a múltiples países europeos. Investigadores de seguridad han identificado a Sorvepotel como la familia principal de malware detrás de esta operación en expansión, que combina capacidades técnicas avanzadas con tácticas de ingeniería social para comprometer tanto comunicaciones personales como datos financieros.

La campaña emergió inicialmente en Brasil bajo el nombre 'Water Saci', dirigida específicamente a aplicaciones bancarias y casas de cambio de criptomonedas. El malware demostró técnicas sofisticadas de superposición que imitan interfaces bancarias legítimas, engañando a los usuarios para que introduzcan credenciales que luego son recolectadas por los atacantes. Esta variante brasileña estableció la infraestructura fundamental que posteriormente apoyaría la expansión internacional del malware.

Análisis recientes revelan que Sorvepotel ha evolucionado más allá de su objetivo financiero original para incorporar capacidades de toma de control de cuentas de WhatsApp. El malware ahora posee la capacidad de secuestrar sesiones legítimas de WhatsApp y propagarse a través de listas de contactos, creando una cadena de infección auto-sostenible. Este método de propagación ha permitido que la campaña se extienda rápidamente por Europa, con Alemania reportando tasas de infección significativas tanto en usuarios individuales como en cuentas institucionales.

El examen técnico de muestras de Sorvepotel muestra que el malware emplea múltiples técnicas de evasión para evitar la detección. Estas incluyen carga dinámica de código, cifrado de cargas maliciosas y el uso de canales de distribución de apariencia legítima. La arquitectura modular del malware permite a los atacantes actualizar la funcionalidad de forma remota, adaptándose a nuevos objetivos y medidas de seguridad conforme progresa la campaña.

Las infecciones europeas demuestran nuevas capacidades preocupantes, incluyendo la habilidad de evitar la autenticación multifactor en algunas implementaciones y mantener acceso persistente a dispositivos comprometidos. Los investigadores han observado que el malware establece comunicaciones de puerta trasera con servidores de comando y control, permitiendo la exfiltración de datos en tiempo real y el control remoto de dispositivos infectados.

Instituciones financieras y agencias de ciberseguridad en las regiones afectadas han emitido alertas sobre la creciente amenaza. La combinación del malware de objetivos financieros y compromiso de plataformas de comunicación crea un escenario de doble amenaza donde los atacantes no solo pueden robar fondos, sino también aprovechar cuentas comprometidas para más ataques de ingeniería social.

Los profesionales de seguridad señalan que Sorvepotel representa una evolución significativa en las capacidades de los troyanos bancarios móviles. La rápida adaptación del malware del objetivo financiero regional al compromiso global de plataformas de comunicación demuestra la creciente sofisticación de los actores de amenazas móviles. El éxito de la campaña resalta los desafíos continuos en la seguridad de aplicaciones móviles y la necesidad de capacidades de detección mejoradas específicamente adaptadas a ataques de superposición y abuso de plataformas de comunicación.

Se recomienda a las organizaciones implementar medidas de seguridad adicionales para empleados que utilizan dispositivos móviles para comunicaciones empresariales, particularmente aquellos que acceden a sistemas financieros o datos corporativos sensibles. Las contramedidas recomendadas incluyen listas blancas de aplicaciones, herramientas de análisis de comportamiento y monitorización mejorada de patrones de actividad anómala en WhatsApp.

La comunidad global de seguridad continúa monitoreando la evolución de Sorvepotel, con investigadores trabajando para desarrollar firmas de detección más efectivas y estrategias de mitigación. Mientras la campaña demuestra desarrollo continuo y adaptación, los equipos de seguridad deben mantenerse vigilantes ante nuevas variantes y metodologías de ataque que emerjan de este grupo de actores de amenazas.