Uma campanha envolvendo o malware Sorvepotel está ocorrendo principalmente no Brasil, com distribuição via WhatsApp no computador e também via email. O programa malicioso visa monitorar atividades bancárias das vítimas e roubar senhas.

O que é o Sorvepotel?

O Sorvepotel é um malware, nome dado a um programa com fins escusos. Em uma das fases do ataque, ele se conecta a diversos endereços da web derivados da expressão “sorvete no pote” — daí o seu nome. Empresas de cibersegurança também atribuíram o nome “Water Saci” à campanha.

Essa campanha tem distribuído o programa por meio de um arquivo ZIP enviado por WhatsApp. Esse arquivo geralmente se passa por um recibo, comprovante ou orçamento. Em alguns casos, o disfarce é relacionado à saúde. O email pode ser outro vetor de contaminação.

O Brasil é a principal vítima do Sorvepotel. Segundo a Trend Micro, dos 477 casos identificados até o momento, 457 estão no país.

O que o Sorvepotel faz?

A mensagem recomenda baixar o anexo em um computador e não no celular. Ao abrir o ZIP, há um atalho (no formato LNK, que funciona no Windows) que, quando executado, faz o dispositivo se conectar a um servidor externo e realizar diversas atividades.

Uma delas é usar o próprio WhatsApp Web para replicar a mensagem e enviar o arquivo ZIP para mais pessoas. Em alguns casos, os usuários vêm sendo banidos pelo mensageiro da Meta por envio de spam.

Outra atividade do falso atalho é baixar um trojan, que monitora a atividade do navegador da vítima e checa se o usuário está acessando o site de um banco ou de uma empresa de criptomoedas.

A lista compartilhada pela Trend Micro, que vem investigando o caso, inclui nomes diversos, como BB, Bradesco, Caixa, Itaú, Santander, Banestes, Banrisul, Binance, Foxbit, Mercado Bitcoin e muitos outros.

Caso detecte o acesso a um dos endereços, o trojan dá mais um passo e ganha a capacidade de executar mais tarefas no computador infectado. O objetivo é interferir no acesso e exibir páginas falsas do banco da vítima, visando roubar dados de acesso.

O que fazer para se proteger?

A Trend Micro dá algumas sugestões de como se defender da ameaça. Para usuários comuns, a principal atitude é desligar os downloads automáticos do WhatsApp, como forma de reduzir a exposição acidental a arquivos maliciosos. Desconfiar dos anexos enviados e checar os remetentes também são boas práticas.

Como a campanha se dá principalmente entre computadores, acredita-se que o mercado corporativo seja o principal alvo dos criminosos. Por isso, muitas recomendações são voltadas a empresas.

Uma delas é bloquear ou restringir a transferência de arquivos por aplicativos pessoais, como WhatsApp, Telegram ou WeTransfer. Caso a empresa tenha uma política de BYOD (traga seu próprio dispositivo), é importante implementar conteinerização para proteger ambientes sensíveis ou proibir o uso de determinados aplicativos, além de alertar os funcionários sobre os riscos envolvendo o download de arquivos recebidos.