Disfarçado de comprovante, vírus derruba contas de WhatsApp no PR

Tudo começa com uma notificação familiar: uma mensagem no WhatsApp de um amigo, um cliente ou um colega de trabalho. Anexado, um arquivo chamado “comprovante.zip”. O clique é quase instintivo. Em segundos, sem nenhum aviso visível, seu computador está infectado. É assim, explorando o elo mais vulnerável da segurança digital, a confiança humana, que o Sorvepotel está conduzindo um ataque em massa no Brasil.

| Foto: Reprodução

A ameaça é real e já tem vítimas públicas: canais de comunicação das prefeituras de Mandaguari e Turvo, e até do prefeito de Itapecuru, já foram comprometidos, forçando a publicação de alertas urgentes em suas redes sociais. Em Londrina, a preocupação se espalhou por consultórios médicos, que dispararam avisos a seus clientes sobre o golpe.

| Foto: Reprodução

O alvo principal são justamente empresas, profissionais e órgãos públicos que dependem da agilidade do WhatsApp Web para o dia a dia, transformando a ferramenta de trabalho em uma porta de entrada para o caos digital.

| Foto: Reprodução

A ameaça chega de forma discreta, através de um arquivo compactado enviado por um contato conhecido no WhatsApp Web ou na versão desktop do aplicativo, e pode levar ao banimento permanente da conta do usuário.

A isca é quase sempre a mesma: um arquivo com nome sugestivo, como "comprovante Santander.zip" ou simplesmente "comprovante.zip". Ao ser aberto, ele revela um atalho que, quando clicado, executa um script malicioso em PowerShell, instalando o vírus no computador da vítima.

| Foto: Reprodução

O sucesso do Sorvepotel não reside em uma falha de segurança do WhatsApp, mas na manipulação psicológica do usuário, uma técnica conhecida como engenharia social. Ao contrário de e-mails de phishing com erros grosseiros ou links de remetentes desconhecidos, o vetor de ataque aqui é um contato conhecido, alguém cuja mensagem você naturalmente abriria. “O fator de confiança é o que torna a propagação tão eficiente e difícil de conter”, analisa Everton Augusto Peres, técnico de redes e especialista em cibersegurança. “As pessoas foram treinadas para desconfiar de estranhos, mas não de seus próprios contatos.”

Uma vez que o usuário baixa e abre o arquivo .zip, ele encontra um atalho malicioso (.LNK). Ao ser clicado, este atalho executa um script em PowerShell – uma ferramenta nativa do Windows –, que instala o malware na memória do computador. De forma autônoma, o vírus acessa a sessão ativa do WhatsApp Web e começa a disparar o mesmo arquivo malicioso para toda a lista de contatos da vítima, criando uma reação em cadeia. “O WhatsApp identifica esse envio em massa como atividade de spam, o que leva ao bloqueio e, em muitos casos, ao banimento irreversível da conta. Para o usuário, isso significa a perda de todo o histórico de conversas, contatos e grupos”, detalha Peres.

Mas porque o Brasil?

Os números da empresa de cibersegurança Trend Micro, atualizados no dia 4 de outubro, dos 477 casos de infecção por Sorvepotel registrados no mundo, 457 ocorreram no Brasil. Essa concentração massiva não é coincidência e aponta para uma "tempestade perfeita" de vulnerabilidades.

Primeiro, o Brasil é um dos maiores mercados do WhatsApp no mundo, com o aplicativo sendo uma ferramenta central para comunicação pessoal e profissional. Segundo, há uma cultura digital onde o compartilhamento rápido de arquivos é comum, e a verificação de segurança, nem tanto.

Some-se a isso o cenário apontado por Peres: um déficit crônico de investimento em cibersegurança. “As empresas no Brasil ainda tratam a segurança da informação como um custo, não como um investimento essencial. Muitas só agem depois que o desastre acontece. Encontramos órgãos públicos, como prefeituras, que ainda utilizam sistemas operacionais obsoletos, como o Windows Server 2008, que não recebem mais atualizações de segurança há anos. Isso cria um ambiente extremamente fértil para ataques.”

MAIS INTELIGENTE

O Sorvepotel não deve ser subestimado. O uso de scripts em PowerShell e atalhos .LNK é uma tática para contornar antivírus tradicionais, que são mais focados em detectar arquivos executáveis (.exe) maliciosos. “É uma técnica avançada porque o malware se aloca diretamente na memória RAM e é configurado para iniciar junto com o Windows, de forma camuflada. Isso o torna ‘fileless’ (sem arquivo) em certo sentido, dificultando sua detecção”, explica o especialista.

O maior risco, no entanto, é o que pode vir a seguir. O Sorvepotel possui capacidade de ser controlado remotamente, funcionando como um backdoor. “Se ele infectar o computador de um funcionário com acesso privilegiado a uma rede corporativa, os criminosos podem usar essa máquina como uma ponte para invadir toda a infraestrutura da empresa. O passo seguinte pode ser um ataque de ransomware, sequestrando dados críticos e exigindo um resgate milionário”, alerta Peres.

O QUE FAZER EM CASO DE INVASÃO?

A proteção contra o Sorvepotel depende tanto de ferramentas quanto de comportamento. É importante notar que a verificação em duas etapas do WhatsApp, embora essencial para proteger sua conta contra clonagem e acesso não autorizado em novos dispositivos, não impede este tipo de ataque, pois o vírus atua em uma sessão já autenticada no computador.

Medidas de Prevenção:

Validação obrigatória: NUNCA abra arquivos compactados (.zip, .rar) ou documentos inesperados, mesmo que venham de contatos conhecidos. Envie uma mensagem separada ou ligue para a pessoa para confirmar se o envio foi legítimo.

Desative o download automático: Nas configurações do WhatsApp, desabilite o download automático de mídias e documentos.

Mantenha sistemas atualizados: Garanta que seu sistema operacional, navegador e antivírus estejam sempre na última versão.

Soluções de segurança robustas: Em ambientes corporativos, é vital o uso de firewalls de nova geração (NGFW) e soluções de EDR/XDR, que monitoram comportamentos suspeitos no sistema, em vez de apenas assinaturas de vírus conhecidos.

Se você suspeita que foi infectado, a ação precisa ser rápida e drástica:

Desconecte imediatamente: Remova o computador da rede (desconecte o cabo de internet ou desligue o Wi-Fi) para interromper a propagação.

Formatação completa: A única garantia de remoção completa do malware é formatar o computador, apagando todos os dados e reinstalando o sistema operacional do zero.

Troca de senhas: Altere TODAS as senhas que foram utilizadas ou salvas no computador infectado (e-mails, redes sociais, bancos, etc.).

O episódio Sorvepotel é um duro lembrete de que, na era digital, a linha de frente da segurança não é apenas um software, mas o discernimento humano. “A melhor ferramenta de contenção é o próprio usuário”, conclui Peres. “Empresas precisam investir em treinamento contínuo, e as pessoas precisam adotar uma postura de desconfiança saudável. Um clique pode separar a segurança do caos.”