MATÉRIA DO G1 Baixar arquivos suspeitos no WhatsApp Web pode abrir caminho para criminosos assumirem o controle de computadores e roubarem senhas, informaram pesquisadores da empresa de cibersegurança Trend Micro. O vírus, batizado de Sorvepotel, se espalha por meio de arquivos enviados em conversas e grupos de WhatsApp e usam e-mails como uma segunda forma de se […] O post Como o WhatsApp Web virou porta de entrada para ataque hacker com foco no Brasil apareceu primeiro em Jornal Sempre Nova Lima.

MATÉRIA DO G1 Baixar arquivos suspeitos no WhatsApp Web pode abrir caminho para criminosos assumirem o controle de computadores e roubarem senhas, informaram pesquisadores da empresa de cibersegurança Trend Micro. O vírus, batizado de Sorvepotel, se espalha por meio de arquivos enviados em conversas e grupos de WhatsApp e usam e-mails como uma segunda forma de se […] O post Como o WhatsApp Web virou porta de entrada para ataque hacker com foco no Brasil apareceu primeiro em Jornal Sempre Nova Lima.

Un nouveau malware WhatsApp surnommé SORVEPOTEL a été repéré. Sa particularité : l'infection implique Windows et il se propage à tous les contacts WhatsApp.

Um novo golpe chamado Sorvepotel está se espalhando pelo WhatsApp no Brasil e tem preocupado especialistas em segurança digital

Brazilian WhatsApp users should be aware of malware that hijacks contact lists to spread itself and potentially serve as a gateway for other malicious code that targets financial information, research...

Threat hunters have flagged a previously undocumented Brazilian banking trojan dubbed TCLBANKER that's capable of targeting 59 banking, fintech, and cryptocurrency platforms. The activity is being tracked by Elastic Security Labs under the moniker REF3076. The malware family is assessed to be a major update of the Maverick, which is known to leverage a worm called SORVEPOTEL to spread via

Brezilya’da ortaya çıkan ve "SORVEPOTEL" olarak bilinen kötü amaçlı yazılımın Türkiye’deki WhatsApp kullanıcılarını hedef almaya başlaması üzerine uzmanlar, sahte ZIP dosyalarına karşı kriti...

The enterprise-focused Water Saci campaign spreads Sorvepotel, which can steal credentials and monitor browser activity to defraud financial institutions.

Im Zentrum steht der Banking-Trojaner TCLBANKER, der mit einer Wurm-Komponente namens SORVEPOTEL kombiniert wird. Die Schäden durch mobile Cyberkriminalität erreichen neue Rekordmarken – Schätzungen für 2026 liegen bei rund 21 Milliarden US-Dollar.TCLBANKER: Trojaner zielt auf 59 Banken und BörsenDer neu entdeckte Banking-Trojaner greift die Infrastruktur von 59 Banken, Kryptowährungsbörsen und Fintech-Unternehmen an. Die Verbreitung läuft […] The post Neue Malware-Welle bedroht Smartphone-Nutzer weltweit appeared first on BornCity.

Golpe Sorvepotel se espalha pelo WhatsApp no Brasil e preocupa especialistas; veja como se proteger e evitar que o malware atinja seus contatos.

Trend™ Research has identified an active campaign spreading via WhatsApp through a ZIP file attachment. When executed, the malware establishes persistence and hijacks the compromised WhatsApp account ...

Специалисты зафиксировали новую вредоносную кампанию под названием SORVEPOTEL, нацеленную на пользователей мессенджера WhatsApp*, сообщают в Trend Micro. Вирус необычен тем, что не занимается кражей данных и не шифрует файлы — его цель — максимально быстрое распространение.

WhatsApp malware SORVEPOTEL infects 477 systems in Brazil, spreading via phishing ZIP files and spamming contacts.

  Elastic Security Labs has identified TCLBANKER as REF3076, which represents a significant development in Latin American banking malware. In addition to credential theft, remote session control, and worm-like propagation, it has been linked to older Maverick and SORVEPOTEL malware families, but with more sophisticated stealth and self-distribution features.  By delivering the trojan via trojanized Logitech AI Prompt Builder MSI installer hidden within malicious ZIP archives, the trojan spreads through compromised WhatsApp and Microsoft Outlook accounts. As well as employing extensive anti-analysis protections to evade sandboxes, debugging tools, and security monitoring systems, TCLBANKER targets 59 Brazilian banking, fintech, and cryptocurrency platforms.  Research has shown that although the campaign is currently focused on Brazil through locale verification and keyboard layout verification checks, its modular architecture is capable of enabling broader international expansion in the future. Researchers have found that the malicious library “screen_retriever_plugin.dll” is executed through the legitimate Logitech application via DLL sideloading.  The malware only activates when loaded by approved executables such as “logiaipromptbuilder.exe,” allowing it to blend into trusted processes and avoid detection. Watchdog subsystems are included in its loader, which continuously searches for debuggers, sandboxes, antivirus engines, and forensic analysis tools. Also, it removes usermode hooks from “ntdll.dll” and disables Event Tracing for Windows (ETW) telemetry so that endpoint monitoring visibility can be compromised.  The TCLBANKER software generates an environment-specific hash value by performing multiple anti-debugging, anti-virtualization, disk, and language checks before decrypting its payload. In the event analysis conditions are detected, the payload is intentionally disabled from decrypting, preventing execution in sandboxes.  Following validation, the malware establishes persistence through scheduled tasks and communicates with external command-and-control infrastructure using HTTP POST requests containing information regarding the system.  An increasing trend among financially motivated threat actors is to combine enterprise-grade evasion techniques with consumer-centered banking fraud operations, as evidenced by the malware's layered execution model. During their research, researchers found that TCLBANKER did not rely exclusively on credential theft, but rather operated as an interactive remote intrusion platform, maintaining prolonged access to compromised systems.  In addition to monitoring user behavior in real time, attackers can manipulate banking sessions directly and bypass traditional fraud detection mechanisms that detect automated transactions, allowing them to bypass traditional fraud detection mechanisms. Since the malware executes most of its activity in memory, and limits visible artifacts on disk, it can be detected more easily by conventional anti-virus and endpoint monitoring programs.  As a consequence of these characteristics, analysts caution that traditional banking trojans and lightweight advanced persistent threat tooling are becoming increasingly blurred, particularly as financial criminals target online banking ecosystems with targeted cybercrime campaigns. With TCLBANKER, users can perform a number of remote fraud functions, including screen capture, live session monitoring, clipboard interception, keylogging, and direct shell command execution.  During fraudulent activities, the malware blocks shortcuts such as Alt+F4, Escape, PrintScreen, and the Windows key while terminating Task Manager processes repeatedly to prevent user interference. Moreover, the WDA_EXCLUDEFROMCAPTURE flag was used by worms to hide malicious overlays from screen-recording tools.  TCLBANKER is also known to include two worm modules, Tcl.WppBot and Tcl.WppBot, which spread via WhatsApp Web and Microsoft Outlook. Through phishing links sent through authenticated WhatsApp sessions to victim contacts, as well as through Outlook COM automation, the malware distributes malicious emails from legitimate user accounts using trusted communication channels, thus significantly increasing infection success rates. As part of its monitoring of activity across Chrome, Firefox, Edge, Brave, Opera, and Vivaldi, TCLBANKER targets 59 Brazilian fintech, banking, and cryptocurrency services specifically. During operation, the malware maintains persistence through a hidden scheduled task called "RuntimeOptimizeService," while monitoring virtualization platforms, debugging tools, and sandbox environments to preserve operational stealth.  Additionally, researchers stressed the operational advantages created by TCLBANKER's abuse of trusted communication environments. As opposed to traditional phishing campaigns that rely on a large-scale spam infrastructure, this malware uses compromised user accounts to distribute malicious content through existing personal and corporate relationships, leveraging compromised user accounts.  Social engineering success rates are substantially improved as recipients are more likely to trust links or attachments received from trusted sources. Using WhatsApp Web and Microsoft Outlook also allows the campaign to spread without being dependent on attacker-controlled infrastructure that could otherwise be blocked or blacklisted.  According to analysts, this propagation strategy represents an evolution in malware delivery operations, as threat actors are increasingly weaponizing legitimate platforms and authenticated sessions in order to bypass spam filtering technologies, reputation-based detection systems, and user suspicion, and to bypass email filtering technologies.  Additionally, cybersecurity researchers are concerned about the continued abuse of legitimately signed applications within malware delivery chains as a consequence of the campaign. TCLBANKER takes advantage of user trust in recognized brands by embedding malicious components inside authentic Logitech software, thereby decreasing the likelihood of immediate detection during installation.  DLL sideloading techniques of this kind continue to be particularly effective because they exploit legitimate application behavior instead of exploiting exploits. Due to the combination of signed software abuse, environment-aware payload activation, and memory-resident execution, the malware is much less forensically accessible than traditional commodity banking trojans.  The analysts believe that the use of these methods will likely continue in future financial malware operations as cybercriminal groups adapt increasingly stealth-oriented intrusion techniques to improve persistence and reduce defence visibility over an infected environment as a result of increasing stealth-oriented intrusion techniques. The TCLBANKER platform has been designed to highlight the increased sophistication of today's banking malware.  TCLBANKER combines trusted software abuse, advanced defense evasion, and self-propagating distribution methods to create a highly adaptive financial threat platform. Despite the malware's ability to spread through legitimate WhatsApp and Outlook accounts, it reflects the shift toward trust-based infection chains that improve victim engagement and compromise rates.  While the malware's current operations are mainly targeted at Brazilian financial users, researchers caution that its modular architecture and stealth-focused architecture could allow for broader international targeting in the future.  According to the findings, hardware and software endpoint monitoring should be strengthened, software validation controls implemented, and user awareness should be increased as financially motivated cyber threats continue to evolve in terms of complexity and extent.

De nome "Sorvepotel", vírus se espalha por meio do WhatsApp Web e só é acionado quando um arquivo malicioso enviado por um contato desconhecido - ou até conhecido, mas infectado antes - é aberto.

O Maverick, malware que se espalha via WhatsApp e é capaz de roubar dinheiro de contas bancárias, **pode ter uma grande família** – outros vírus muito conhecidos e ativos no Brasil, incluindo o Coyote. O Maverick foi documentado pela primeira vez pela Trend Micro no início do mês passado, atribuindo-o a um ator de ameaça chamado Water Saci. A campanha usava dois componentes principais: um malware que se propagava sozinho via WhatsApp Web, chamado SORVEPOTEL, e um arquivo ZIP que continha o payload Maverick. O pacote era projetado para espionar abas do navegador ativas e buscar URLs que constavam em uma lista codificada de instituições financeiras populares na América Latina, com foco em brasileiros. Quando encontrava essas URLs, o malware fazia contato com um servidor remoto para buscar comandos subsequentes, que coletavam informações do sistema e mostravam páginas de phishing para roubar credenciais. Nas primeiras investigações, algumas empresas de cibersegurança já apontavam semelhanças e uma possível relação entre Maverick e Coyote. Isso porque ambos atuam de forma parecida. Por exemplo, ambos se espalham via WhatsApp, as cadeias de ataque dos dois começam a partir de um arquivo LNK gerando powershell para um ataque multi-estágio – basicamente, o powershell monta o malware como um Lego, juntando todas as pecinhas na surdina. Além disso, ambos são construídos com código de rotina de monitoramento de aplicação bancária, visam as mesmas vítimas e são escritos em .NET. ## Como a infecção acontece na prática A CyberProof identificou vários incidentes relacionados ao Maverick e conseguiu destrinchar como o ataque funciona passo a passo. Tudo começa de forma bem inocente: você recebe um arquivo ZIP pelo WhatsApp com um nome que parece legítimo, tipo "NEW-20251001_152441-PED_561BCF01.zip". Nada de muito suspeito, certo? Mas quando você abre esse arquivo, a coisa fica séria. Dentro tem um atalho do Windows (arquivo LNK) que, ao ser clicado, parece que vai abrir um documento qualquer. Só que não. O atalho na verdade executa uma série de comandos escondidos que começam toda a cadeia de infecção. O que acontece por trás das cortinas é digno de filme de espionagem. O atalho usa uma técnica bem elaborada de ofuscação – basicamente, ele embaralha o código malicioso usando tokens divididos e Base64 (um tipo de codificação) para que antivírus não consigam identificar facilmente o que está rolando. Os criminosos usam vários loops "for" no comando para construir o código malicioso peça por peça, como se estivessem montando um quebra-cabeça. Por exemplo, eles pegam pedaços como "pow" + "er" + "shel" + "l.e" + "xe" e, quando juntam tudo, forma "powershell.exe". Inteligente e assustador ao mesmo tempo. ## O PowerShell entra em ação Uma vez que o PowerShell é acionado – sempre de forma invisível, sem você ver janela nenhuma – ele se conecta a servidores controlados pelos criminosos. No caso analisado pela CyberProof, o servidor era o zapgrande.com. O PowerShell então baixa o próximo estágio do ataque: um script que vai desabilitar suas defesas. E aqui a coisa fica preocupante de verdade. Esse script é programado para desligar o Windows Defender (o antivírus do Windows) e desabilitar o UAC (aquela janelinha chata que pergunta "tem certeza que quer fazer isso?"). Basicamente, o malware tira seus seguranças da porta antes de entrar pra roubar. Depois de derrubar as defesas, o PowerShell baixa um "loader" – um tipo de instalador malicioso feito em .NET. Esse loader é esperto: antes de continuar, ele verifica se tem ferramentas de análise ou engenharia reversa rodando no computador. Se detectar alguma, ele se auto-destrói para não ser analisado. Se o caminho estiver livre, ele segue em frente. ## Verificação de nacionalidade e instalação Aqui vem uma característica interessante (e meio bizarra): o Maverick só continua a infecção se você for brasileiro. O malware verifica o fuso horário do seu computador, o idioma do sistema, a região configurada e até o formato de data e hora. Se qualquer coisa indicar que você não está no Brasil, o vírus simplesmente desiste e se auto-destrói. Isso mostra que os criminosos são bem focados – eles querem especificamente usuários brasileiros e instituições financeiras do Brasil. Não é um ataque aleatório global, é uma operação direcionada. Se você passar no "teste de brasilidade", o loader baixa os dois módulos principais do ataque: o SORVEPOTEL (responsável por sequestrar seu WhatsApp Web) e o Maverick propriamente dito (o ladrão de bancos). E aí sim o estrago começa de verdade. ## Persistência: o malware garante que vai continuar ali Para garantir que não seja removido facilmente, o Maverick cria um arquivo batch (um script de comandos do Windows) na pasta de inicialização do sistema. O nome do arquivo segue um padrão: "HealthApp-" seguido de um código único (GUID) e a extensão ".bat". Isso significa que toda vez que você ligar o computador, esse arquivo é executado automaticamente. E o que ele faz? Estabelece conexão com outro servidor dos criminosos (sorvetenopote.com) para baixar atualizações ou receber novos comandos. É como se o malware tivesse instalado um "telefone direto" com os criminosos que nunca desliga. ## Monitoramento bancário: o coração do ataque Agora vem a parte mais perigosa. O Maverick fica de olho nos processos do seu computador, especialmente os navegadores. Ele verifica constantemente se você está usando Chrome, Edge, Firefox, Opera, Brave ou outros navegadores populares. Quando detecta que você abriu um navegador, o malware começa a monitorar as URLs que você visita. E aqui está o pulo do gato: ele tem uma lista enorme de mais de 60 sites de bancos e instituições financeiras brasileiras codificada dentro dele. A lista inclui praticamente todos os grandes bancos – Bradesco, Banco do Brasil, Itaú, Santander, Caixa, Nubank (via Nubank), além de corretoras de criptomoedas como Binance, Mercado Bitcoin e Foxbit. Os pesquisadores da CyberProof notaram que tanto o Maverick quanto o Coyote usam o mesmo método de criptografia para armazenar essa lista de sites: AES combinado com GZIP. Quando o malware precisa verificar se você está num site bancário, ele descriptografa essa lista e compara com a URL que você está acessando. É mais uma evidência forte de que estamos lidando com a mesma família de malware ou, no mínimo, com os mesmos desenvolvedores. Para acompanhar mais casos como esse, siga o TecMundo nas redes sociais. Inscreva-se em nossa newsletter e canal do YouTube para mais notícias de tecnologia e segurança.

O **Brasil** é o **principal alvo** de uma **campanha de malware** que se **espalha automaticamente pelo WhatsApp**. Nomeado de **SORVEPOTEL** , esse ataque em massa foi projetado com foco em velocidade e propagação. Por meio de um**arquivo ZIP** malicioso e mensagens convincentes, os cibercriminosos induzem as vítimas a abrir o documento em um computador. > 477 casos detectados até o momento – com **457 no Brasil** A partir do momento que o arquivo é acessado no desktop - de preferência em computadores que usam Windows, o malware se propaga automaticamente via WhatsApp Web, até que as contas das vítimas sejam banidas por spam. De acordo com a Trend Micro, que está investigando a campanha, já há 477 casos detectados até o momento – com **457 no Brasil**. A empresa de cibersegurança afirma que o SORVEPOTEL impactou diretamente organizações governamentais e de serviços públicos além de empresas privadas. O que explica o foco da campanha no WhatsApp Web e a orientação para fazer o download do documento no computador. O ataque começa quando um usuário recebe uma mensagem de phishing no WhatsApp vinda de um amigo ou colega – que já foi vítima do golpe, o que faz a mensagem parecer legítima. A mensagem traz um arquivo ZIP anexo, com nomes como **"RES-20250930_112057.zip", "ORCAMENTO_114418.zip"** ou algo parecido com comprovantes de pagamento, orçamentos ou marquis de aplicativos de saúde. > Explorando a confiança em conversas no WhatsApp, a mensagem pede: **“baixa o zip no PC e abre”.** Usuários do X (antigo Twitter) mostram as mensagens que contém o arquivo ZIP malicioso. Imagem: dilacer8/X Trend Micro também acredita que o **e-mail** pode ser usado como vetor inicial de infecção. Vários e-mails de phishing foram observados distribuindo anexos ZIP com nomes como **“COMPROVANTE_20251001_094031.zip", "ComprovanteSantander-75319981.682657420.zip" e "NEW-20251001_133944-PED_1273E322.zip"**. Esses e-mails vêm de endereços que parecem legítimos, usando assuntos como “Documento de Rafael B”, “Zip” ou “Extrato” para convencer os destinatários a abrir os anexos maliciosos. ## Malware se configura para ser invisível e reativável Ao abrir o ZIP, a vítima encontra um atalho do Windows (.LNK). Ao clicar, o atalho dispara silenciosamente um comando (linha de comando ou PowerShell) que baixa o malware principal de domínios controlados pelos invasores. Esse ajuda o malware a escapar de antivírus básicos. Vimos atividade parecida em domínios como sorvetenopoate[.]com, sorvetenoopote[.]com, etenopote[.]com, expahnsiveuser[.]com, sorv[.]etenopote[.]com e sorvetenopotel[.]com, todos usados para entregar a carga maliciosa. O comando, após ser decodificado, baixa um script de uma URL e o executa diretamente na memória via Invoke-Expression (IEX). Ele roda em modo oculto para não aparecer para o usuário e usa comandos codificados para ofuscar o que faz. O arquivo baixado costuma ser um script em lote pensado para garantir persistência: ele se copia para a pasta de Inicialização do Windows, assim o malware volta a rodar toda vez que o PC é ligado. Esse .BAT monta um comando PowerShell por meio de loops “for” e executa tudo numa janela oculta, com parâmetros para camuflagem. Depois de decodado, o PowerShell monta uma URL para o servidor de comando e controle (C&C), baixa conteúdo via Net.WebClient e executa na memória usando Invoke-Expression. O malware fala com múltiplos servidores C&C para receber instruções ou baixar módulos adicionais. Um ponto-chave: ele detecta sessões ativas do WhatsApp Web. Quando encontra, usa essa sessão para enviar automaticamente o mesmo ZIP malicioso para todos os contatos e grupos da conta comprometida, acelerando a propagação. O efeito prático é muito spam e, com frequência, suspensão das contas por violação dos termos do WhatsApp. Depois da infecção inicial, o comportamento principal é a autorreplicação, ou seja, se espalhar ao máximo, e não necessariamente roubar dados ou criptografar arquivos. Até agora não há sinais claros de exfiltração ou ransomware, mas campanhas brasileiras com LNKs e PowerShell já miraram dados financeiros antes. Para se manter oculto, o malware usa domínios “typosquatting” (nomes parecidos com palavras legítimas, tipo “sorvetenopotel”, que lembra “sorvete no pote”), misturando tráfego malicioso com tráfego normal. A Trend também identificou possíveis vínculos com outras infraestruturas, como cliente[.]rte[.]com[.]br, usadas dias antes da escalada da campanha. Isso mostra que os operadores seguem diversificando e atualizando seus métodos para ampliar alcance e furtividade. * Proteja seus dispositivos com Kaspersky Premium e receba 100% de cashback no app da Uber! Aproveite já! ## Como se proteger Para evitar ser vítima desse golpe, é importante tomar algumas precauções como: * Desativar downloads automáticos no WhatsApp; * Bloquear transferências de arquivos em apps pessoais nos dispositivos corporativos; * Treinar funcionários para evitar abrir anexos suspeitos, mesmo de contatos conhecidos; * Usar canais oficiais e seguros para trocar documentos de trabalho.

O **Brasil** é o **principal alvo** de uma **campanha de malware** que se **espalha automaticamente pelo WhatsApp**. Nomeado de **SORVEPOTEL** , esse ataque em massa foi projetado com foco em velocidade e propagação. Por meio de um**arquivo ZIP** malicioso e mensagens convincentes, os cibercriminosos induzem as vítimas a abrir o documento em um computador. > 477 casos detectados até o momento – com **457 no Brasil** A partir do momento que o arquivo é acessado no desktop - de preferência em computadores que usam Windows, o malware se propaga automaticamente via WhatsApp Web, até que as contas das vítimas sejam banidas por spam. De acordo com a Trend Micro, que está investigando a campanha, já há 477 casos detectados até o momento – com **457 no Brasil**. A empresa de cibersegurança afirma que o SORVEPOTEL impactou diretamente organizações governamentais e de serviços públicos além de empresas privadas. O que explica o foco da campanha no WhatsApp Web e a orientação para fazer o download do documento no computador. O ataque começa quando um usuário recebe uma mensagem de phishing no WhatsApp vinda de um amigo ou colega – que já foi vítima do golpe, o que faz a mensagem parecer legítima. A mensagem traz um arquivo ZIP anexo, com nomes como **"RES-20250930_112057.zip", "ORCAMENTO_114418.zip"** ou algo parecido com comprovantes de pagamento, orçamentos ou marquis de aplicativos de saúde. > Explorando a confiança em conversas no WhatsApp, a mensagem pede: **“baixa o zip no PC e abre”.** Usuários do X (antigo Twitter) mostram as mensagens que contém o arquivo ZIP malicioso. Imagem: dilacer8/X Trend Micro também acredita que o **e-mail** pode ser usado como vetor inicial de infecção. Vários e-mails de phishing foram observados distribuindo anexos ZIP com nomes como **“COMPROVANTE_20251001_094031.zip", "ComprovanteSantander-75319981.682657420.zip" e "NEW-20251001_133944-PED_1273E322.zip"**. Esses e-mails vêm de endereços que parecem legítimos, usando assuntos como “Documento de Rafael B”, “Zip” ou “Extrato” para convencer os destinatários a abrir os anexos maliciosos. ## Malware se configura para ser invisível e reativável Ao abrir o ZIP, a vítima encontra um atalho do Windows (.LNK). Ao clicar, o atalho dispara silenciosamente um comando (linha de comando ou PowerShell) que baixa o malware principal de domínios controlados pelos invasores. Esse ajuda o malware a escapar de antivírus básicos. Vimos atividade parecida em domínios como sorvetenopoate[.]com, sorvetenoopote[.]com, etenopote[.]com, expahnsiveuser[.]com, sorv[.]etenopote[.]com e sorvetenopotel[.]com, todos usados para entregar a carga maliciosa. O comando, após ser decodificado, baixa um script de uma URL e o executa diretamente na memória via Invoke-Expression (IEX). Ele roda em modo oculto para não aparecer para o usuário e usa comandos codificados para ofuscar o que faz. O arquivo baixado costuma ser um script em lote pensado para garantir persistência: ele se copia para a pasta de Inicialização do Windows, assim o malware volta a rodar toda vez que o PC é ligado. Esse .BAT monta um comando PowerShell por meio de loops “for” e executa tudo numa janela oculta, com parâmetros para camuflagem. Depois de decodado, o PowerShell monta uma URL para o servidor de comando e controle (C&C), baixa conteúdo via Net.WebClient e executa na memória usando Invoke-Expression. O malware fala com múltiplos servidores C&C para receber instruções ou baixar módulos adicionais. Um ponto-chave: ele detecta sessões ativas do WhatsApp Web. Quando encontra, usa essa sessão para enviar automaticamente o mesmo ZIP malicioso para todos os contatos e grupos da conta comprometida, acelerando a propagação. O efeito prático é muito spam e, com frequência, suspensão das contas por violação dos termos do WhatsApp. Depois da infecção inicial, o comportamento principal é a autorreplicação, ou seja, se espalhar ao máximo, e não necessariamente roubar dados ou criptografar arquivos. Até agora não há sinais claros de exfiltração ou ransomware, mas campanhas brasileiras com LNKs e PowerShell já miraram dados financeiros antes. Para se manter oculto, o malware usa domínios “typosquatting” (nomes parecidos com palavras legítimas, tipo “sorvetenopotel”, que lembra “sorvete no pote”), misturando tráfego malicioso com tráfego normal. A Trend também identificou possíveis vínculos com outras infraestruturas, como cliente[.]rte[.]com[.]br, usadas dias antes da escalada da campanha. Isso mostra que os operadores seguem diversificando e atualizando seus métodos para ampliar alcance e furtividade. * Proteja seus dispositivos com Kaspersky Premium e receba 100% de cashback no app da Uber! Aproveite já! ## Como se proteger Para evitar ser vítima desse golpe, é importante tomar algumas precauções como: * Desativar downloads automáticos no WhatsApp; * Bloquear transferências de arquivos em apps pessoais nos dispositivos corporativos; * Treinar funcionários para evitar abrir anexos suspeitos, mesmo de contatos conhecidos; * Usar canais oficiais e seguros para trocar documentos de trabalho.

O **Brasil** é o **principal alvo** de uma **campanha de malware** que se **espalha automaticamente pelo WhatsApp**. Nomeado de **SORVEPOTEL** , esse ataque em massa foi projetado com foco em velocidade e propagação. Por meio de um**arquivo ZIP** malicioso e mensagens convincentes, os cibercriminosos induzem as vítimas a abrir o documento em um computador. > 477 casos detectados até o momento – com **457 no Brasil** A partir do momento que o arquivo é acessado no desktop - de preferência em computadores que usam Windows, o malware se propaga automaticamente via WhatsApp Web, até que as contas das vítimas sejam banidas por spam. De acordo com a Trend Micro, que está investigando a campanha, já há 477 casos detectados até o momento – com **457 no Brasil**. A empresa de cibersegurança afirma que o SORVEPOTEL impactou diretamente organizações governamentais e de serviços públicos além de empresas privadas. O que explica o foco da campanha no WhatsApp Web e a orientação para fazer o download do documento no computador. O ataque começa quando um usuário recebe uma mensagem de phishing no WhatsApp vinda de um amigo ou colega – que já foi vítima do golpe, o que faz a mensagem parecer legítima. A mensagem traz um arquivo ZIP anexo, com nomes como **"RES-20250930_112057.zip", "ORCAMENTO_114418.zip"** ou algo parecido com comprovantes de pagamento, orçamentos ou marquis de aplicativos de saúde. > Explorando a confiança em conversas no WhatsApp, a mensagem pede: **“baixa o zip no PC e abre”.** Usuários do X (antigo Twitter) mostram as mensagens que contém o arquivo ZIP malicioso. Imagem: dilacer8/X Trend Micro também acredita que o **e-mail** pode ser usado como vetor inicial de infecção. Vários e-mails de phishing foram observados distribuindo anexos ZIP com nomes como **“COMPROVANTE_20251001_094031.zip", "ComprovanteSantander-75319981.682657420.zip" e "NEW-20251001_133944-PED_1273E322.zip"**. Esses e-mails vêm de endereços que parecem legítimos, usando assuntos como “Documento de Rafael B”, “Zip” ou “Extrato” para convencer os destinatários a abrir os anexos maliciosos. ## Malware se configura para ser invisível e reativável Ao abrir o ZIP, a vítima encontra um atalho do Windows (.LNK). Ao clicar, o atalho dispara silenciosamente um comando (linha de comando ou PowerShell) que baixa o malware principal de domínios controlados pelos invasores. Esse ajuda o malware a escapar de antivírus básicos. Vimos atividade parecida em domínios como sorvetenopoate[.]com, sorvetenoopote[.]com, etenopote[.]com, expahnsiveuser[.]com, sorv[.]etenopote[.]com e sorvetenopotel[.]com, todos usados para entregar a carga maliciosa. O comando, após ser decodificado, baixa um script de uma URL e o executa diretamente na memória via Invoke-Expression (IEX). Ele roda em modo oculto para não aparecer para o usuário e usa comandos codificados para ofuscar o que faz. O arquivo baixado costuma ser um script em lote pensado para garantir persistência: ele se copia para a pasta de Inicialização do Windows, assim o malware volta a rodar toda vez que o PC é ligado. Esse .BAT monta um comando PowerShell por meio de loops “for” e executa tudo numa janela oculta, com parâmetros para camuflagem. Depois de decodado, o PowerShell monta uma URL para o servidor de comando e controle (C&C), baixa conteúdo via Net.WebClient e executa na memória usando Invoke-Expression. O malware fala com múltiplos servidores C&C para receber instruções ou baixar módulos adicionais. Um ponto-chave: ele detecta sessões ativas do WhatsApp Web. Quando encontra, usa essa sessão para enviar automaticamente o mesmo ZIP malicioso para todos os contatos e grupos da conta comprometida, acelerando a propagação. O efeito prático é muito spam e, com frequência, suspensão das contas por violação dos termos do WhatsApp. Depois da infecção inicial, o comportamento principal é a autorreplicação, ou seja, se espalhar ao máximo, e não necessariamente roubar dados ou criptografar arquivos. Até agora não há sinais claros de exfiltração ou ransomware, mas campanhas brasileiras com LNKs e PowerShell já miraram dados financeiros antes. Para se manter oculto, o malware usa domínios “typosquatting” (nomes parecidos com palavras legítimas, tipo “sorvetenopotel”, que lembra “sorvete no pote”), misturando tráfego malicioso com tráfego normal. A Trend também identificou possíveis vínculos com outras infraestruturas, como cliente[.]rte[.]com[.]br, usadas dias antes da escalada da campanha. Isso mostra que os operadores seguem diversificando e atualizando seus métodos para ampliar alcance e furtividade. ## Como se proteger Para evitar ser vítima desse golpe, é importante tomar algumas precauções como: * Desativar downloads automáticos no WhatsApp; * Bloquear transferências de arquivos em apps pessoais nos dispositivos corporativos; * Treinar funcionários para evitar abrir anexos suspeitos, mesmo de contatos conhecidos; * Usar canais oficiais e seguros para trocar documentos de trabalho.

TCLBanker is a new banking trojan that targets 59 banking, fintech, and cryptocurrency platforms using a trojanized MSI installer for Logitech AI Prompt Builder to infect systems. It also includes self-spreading worm modules for WhatsApp and Outlook, and Elastic Security Labs says it may represent a major evolution of the Maverick/Sorvepotel family. #TCLBanker #ElasticSecurityLabs #Maverick #Sorvepotel #Logitech