Un nuevo malware denominado SORVEPOTEL ha sido identificado como una amenaza para usuarios brasileños. Se propaga automáticamente mediante la plataforma de mensajería WhatsApp para Windows, destacándose por su velocidad y capacidad de propagación más que por el robo de datos o la implementación de ransomware.
Características del malware
El ataque utiliza mensajes de phishing con archivos ZIP maliciosos adjuntos para infectar a los usuarios. Estos mensajes son enviados desde contactos ya comprometidos, lo que les da una apariencia de credibilidad. Los archivos se hacen pasar por recibos o documentos relacionados con aplicaciones de salud.
Una vez abierto el archivo adjunto, el malware se propaga automáticamente a través de WhatsApp para escritorio, lo que provoca el bloqueo de las cuentas infectadas debido al envío excesivo de mensajes de spam. No hay indicios de que los actores detrás del ataque hayan aprovechado el acceso para exfiltrar datos o cifrar archivos.
Impacto y distribución
La gran mayoría de las infecciones (457 de los 477 casos) se concentran en Brasil, afectando principalmente a entidades del sector gubernamental, servicios públicos, manufacturero, tecnológico, educativo y construcción.
Mecanismo de propagación
El malware utiliza el mecanismo de WhatsApp Web para distribuir archivos ZIP maliciosos a todos los contactos y grupos asociados con la cuenta comprometida. Esta acción permite una rápida expansión del ataque, generando un gran volumen de mensajes de spam que puede llevar a suspensiones o bloqueos de cuentas.
El proceso comienza cuando el destinatario abre el archivo adjunto, lo cual induce a abrir un archivo de acceso directo de Windows (LNK) que activa silenciosamente la ejecución de un script de PowerShell. Este script recupera la carga útil principal desde un servidor externo (sorvetenopoate[.]com).
La carga útil descargada es un script BAT diseñado para establecer persistencia en el host copiándose a sí mismo en la carpeta de inicio de Windows. También está diseñado para ejecutar un comando de PowerShell que se conecta a un servidor de comando y control (C2) para obtener instrucciones adicionales o componentes maliciosos.
Relación con otras vulnerabilidades
El malware SORVEPOTEL no está relacionado con la vulnerabilidad CVE-2025-55177, que afecta a WhatsApp para Apple iOS y macOS. Esta vulnerabilidad podría haber sido explotada en conjunto con una falla de Apple revelada recientemente en ataques Zero-Day dirigidos.
Los investigadores han destacado que el uso de WhatsApp como canal de propagación refleja la tendencia de los actores de amenazas a aprovechar plataformas de comunicación populares para distribuir malware rápidamente y a gran escala con mínima interacción del usuario.