- Hackers atualizaram o vírus Sorvepotel: versão em Python, com indícios de uso de IA ou modelos de linguagem para acelerar a portabilidade e melhorar a estrutura do código, além de emojis no visual.
- Foco no Brasil: o malware verifica idioma e localização para confirmar alvo nacional; continua exibindo sites falsos de bancos e assume o WhatsApp Web para enviar o arquivo malicioso a contatos.
- Máquina da vítima vira zumbi: o atacante passa a controlar o equipamento, recebendo comandos externos e podendo atualizar o malware.
- Histórico e alcance: o Sorvepotel foi descoberto em outubro pela Trend Micro e já afetou governos, serviços públicos, indústria, tecnologia, educação e construção, com destaque para vítimas no Brasil.
- Medidas de proteção: a Trend Micro recomenda que usuários e empresas sigam suas orientações de segurança para mitigar o ataque, incluindo práticas de proteção contra phishing, atualização de sistemas e verificação de arquivos/links.
O ataque Sorvepotel ganhou uma nova versão voltada ao Brasil, com uso de Python em vez de PowerShell. O vírus se espalha pelo WhatsApp Web, exibe páginas falsas de bancos e envia o arquivo malicioso aos contatos da vítima. A mudança de linguagem facilita a portabilidade e amplia o alcance.
Segundo a Trend Micro, há indícios de que ferramentas de IA ou de modelos de linguagem tenham sido usadas para estruturar o código e acelerar a migração para Python. O malware demonstra maior organização, uso de emojis no código e velocidade de desenvolvimento superior à versão original, ainda com foco no Brasil.
A nova variante mantém a tática de buscar informações sobre bancos no histórico de navegação, para identificar a instituição financeira principal da vítima. Ao detectar o idioma e a localização, o malware verifica se o usuário é brasileiro antes de prosseguir.
Em vez de explorar falhas no WhatsApp, o ataque transforma a máquina da vítima em um zumbi sob comando remoto. A Trend Micro explica que isso abre uma porta de comunicação para receber instruções e atualizações, mantendo o controle do sistema afetado.
Historicamente, o Sorvepotel já impactou diversas organizações, incluindo órgãos governamentais, serviços públicos e setores industriais, tecnológicos, educacionais e da construção. A variante atual reforça o alvo no Brasil, com checagens de idioma e localização para validar o uso local.
Como funciona e o que mudou
A nova versão mantém o envio do arquivo malicioso a contatos, mas destaca a migração para Python e a adoção de uma estrutura de código mais organizada. A presença de recursos de IA sugere automatização na adaptação a diferentes ambientes.
Os pesquisadores destacam que a máquina da vítima passa a funcionar como uma máquina remota sob comando do atacante, com atualização constante conforme ordens externas. A ideia é ampliar a persistência e a capacidade de resposta do ataque.
O comportamento do malware continua dependente de pastas com nomes de bancos e dados históricos de navegação. Ao identificar o alvo, o código atua para facilitar o acesso não autorizado a informações sensíveis. O Brasil permanece como foco principal da operação.
Medidas de proteção recomendadas
Usuários devem evitar clicar em links recebidos por meio do WhatsApp Web de origem duvidosa e manter navegadores atualizados. Empresas precisam reforçar políticas de segurança, monitorar tráfego e isolamento de sistemas críticos.
É essencial aplicar camadas de proteção, como autenticação multifator, atualização de softwares e uso de soluções de detecção de comportamento anômalo. A educação de usuários sobre golpes via mensagens é crucial.
Para dúvidas técnicas ou relatos de incidentes, a Trend Micro recomenda consultar fontes oficiais de segurança e manter registros de eventos para investigação. As equipes de TI devem seguir planos de resposta a incidentes e comunicar rapidamente qualquer atividade suspeita.
Entre na conversa da comunidade