Malware Autopropagável se Espalha Via WhatsApp, Alvo: Usuários Brasileiros

Com contribuições de Joe Soares, Ian Kenefick, Victor Bertho, Valentim Uliana, Guilherme Marcelino de Sá, Laercio Maciel, Matheus Perestrelo, Felippe Barros, Pedro Alberto Costa, Gustavo Silva Este blog foi atualizado em 4 de outubro de 2025, às 14h (horário padrão do leste dos EUA), com informações sobre a carga útil. A Trend™ Research está investigando uma campanha agressiva de malware que utiliza o WhatsApp como principal vetor de infecção. Diferentemente dos ataques tradicionais focados em roubo ou ransomware, esta campanha foi projetada para velocidade e propagação, abusando da confiança social e da automação para se espalhar entre usuários do Windows. A análise da Trend Research identifica a campanha como Water Saci, com o malware para WhatsApp identificado como SORVEPOTEL. Atualmente, a campanha está mais ativa no Brasil. Observou-se que o SORVEPOTEL se espalha por sistemas Windows através de mensagens de phishing convincentes com anexos maliciosos em formato ZIP. Curiosamente, a mensagem de phishing que contém o anexo malicioso exige que os usuários a abram em um computador, sugerindo que os agentes maliciosos podem estar mais interessados ​​em atingir empresas do que consumidores. Uma vez aberto, o malware se propaga automaticamente pelo WhatsApp Web, causando o banimento de contas infectadas devido ao excesso de spam. Uma vez decodificado, o comando do PowerShell gera uma URL que aponta para o servidor de comando e controle (C&C). Usando o Net.WebClient, o script baixa o conteúdo desse endereço, que é então executado imediatamente na memória por meio do Invoke-Expression. A carga útil baixada é um script do PowerShell que carrega reflexivamente uma DLL .NET que extrai shellcode do servidor C&C, injeta-o no powershell_ise.exe para monitorar atividades bancárias e suporta a propagação (inclusive via WhatsApp), mantendo contato com vários servidores C&C. Mais detalhes sobre o comportamento e as técnicas da carga útil são fornecidos nas seções a seguir. O monitoramento contínuo da Trend revela uma campanha que não apenas desestabiliza usuários e empresas individualmente, mas também oferece um modelo para ataques semelhantes em todo o mundo. Este blog serve como um alerta urgente para aumentar a conscientização, implementar táticas defensivas modernas e monitorar proativamente os canais de comunicação mais utilizados. Isso inclui avaliar se seus usuários realmente precisam usar o WhatsApp e, caso seja necessário, ter políticas claras de BYOD (Bring Your Own Device - Traga Seu Próprio Dispositivo). Os atacantes sabem do grande investimento que as empresas fazem em vetores de ataque comuns, como gateways de e-mail e web, e, portanto, exploram vulnerabilidades por meio do BYOD em dispositivos móveis. A falsa sensação de urgência imposta ao usuário para que ele abra o computador e execute o arquivo burla a camada inicial de segurança, que é a desconfiança do usuário, e, consequentemente, a camada de segurança do endpoint. De acordo com os dados de telemetria da Trend Research, a atividade inicial da campanha sugere um foco regional no Brasil, com 457 dos 477 casos detectados até o momento sendo provenientes do Brasil. Os dados de telemetria da Trend Research também mostram que o SORVEPOTEL impactou principalmente organizações governamentais e de serviços públicos, mas também afetou organizações nos setores de manufatura, tecnologia, educação e construção. Vetor de infecção inicial A infecção começa quando um usuário recebe uma mensagem de phishing via WhatsApp de um contato comprometido, geralmente uma conta pertencente a um amigo ou colega, fazendo com que a mensagem pareça legítima. A mensagem contém um arquivo ZIP anexado, com o nome "RES-20250930_112057.zip" ou "ORCAMENTO_114418.zip", ou algo similar disfarçado de documento inofensivo, como um recibo, orçamento ou arquivo de aplicativo de saúde. Explorando a confiança nas conversas do WhatsApp, a mensagem, em português, incentiva o usuário a " baixar o zip no PC e abrir". Além disso, as evidências mostram que o e-mail é outro possível vetor inicial de infecção para esta campanha. Vários e-mails de phishing foram observados distribuindo anexos ZIP com nomes como "COMPROVANTE_20251001_094031.zip", "ComprovanteSantander-75319981.682657420.zip" e "NEW-20251001_133944-PED_1273E322.zip". Esses e-mails são enviados de endereços que parecem legítimos, frequentemente usando assuntos como "Documento de Rafael B", "Zip" ou "Extrato" para atrair os destinatários a abrir o anexo malicioso. Execução de arquivo LNK malicioso Ao extrair o arquivo ZIP, a vítima descobre um atalho do Windows (.LNK). Quando o arquivo LNK é executado, esse atalho inicia secretamente um script de linha de comando ou PowerShell que baixa o malware principal de domínios controlados pelo atacante. Ao se passar por um atalho inofensivo, o arquivo LNK consegue burlar a detecção básica de antivírus. Atividade semelhante é observada em diversos domínios relacionados, como sorvetenopoate[.]com , sorvetenoopote[.]com , etenopote[.]com , expahnsiveuser[.]com , sorv[.]etenopote[.]com e sorvetenopotel[.]com , todos os quais funcionam como endpoints de API para a entrega do payload malicioso. O comando descriptografado recupera um script malicioso de um URL especificado e o executa na memória usando a função Invoke-Expression (IEX). Ele é executado em modo oculto ( -w hidden ) para evitar a detecção pelo usuário e utiliza o recurso de comando codificado ( -enc ) para ofuscação adicional da carga útil. Download e persistência de scripts em lote A carga útil baixada pelo script geralmente é um arquivo em lote ( .BAT ), projetado para se instalar persistentemente no sistema infectado. Isso é conseguido copiando-se para a pasta Inicialização do Windows, garantindo que o malware seja executado automaticamente sempre que o computador for iniciado. O script em lote utiliza vários laços de repetição `for` para montar e executar um comando do PowerShell. Este comando é executado em uma janela oculta (` -windowstyle hidden` ), com seus parâmetros fornecidos em formato codificado em Base64 ( `-enc` ) para maior ofuscação. Uma vez decodificado, o comando do PowerShell gera uma URL que aponta para o servidor de comando e controle (C&C). Usando o Net.WebClient , o script baixa o conteúdo desse endereço, que é então executado imediatamente na memória por meio do Invoke-Expression . O malware mantém comunicação com vários servidores C&C, permitindo que ele receba instruções adicionais ou recupere componentes maliciosos adicionais, se necessário. Sequestro e propagação automatizada de sessão do WhatsApp Web A análise da Trend Research revelou que uma característica fundamental desse malware é sua capacidade de detectar se o WhatsApp Web está ativo no computador infectado. Quando detectado, o malware aproveita essa sessão para distribuir automaticamente o mesmo arquivo ZIP malicioso para todos os contatos e grupos associados à conta comprometida da vítima, propagando-se rapidamente. Essa disseminação automatizada resulta em um alto volume de mensagens de spam e frequentemente leva à suspensão ou ao bloqueio de contas devido a violações dos termos de serviço do WhatsApp. Análise técnica da carga útil Carregador de primeiro estágio O arquivo em lote obtém um script do PowerShell que é executado diretamente na memória, iniciando subsequentemente o carregamento reflexivo de uma DLL .NET. A análise mostra que vários scripts do PowerShell podem ser obtidos de diferentes URLs, indicando que o conteúdo pode variar dependendo da origem. No entanto, se o script for baixado da mesma URL, ele sempre carregará o mesmo binário. Carregador de segundo estágio O binário carregado por reflexão é uma DLL .NET, projetada para se conectar a duas URLs distintas e obter payloads separados. Antes de executar suas funções principais, ela implementa medidas anti-análise, buscando nomes de processos específicos comumente associados a ferramentas de depuração ou engenharia reversa. Se algum dos processos a seguir for detectado, a DLL se encerrará para evitar a análise. apimonitor arrotar violinista ghidra ida imunidade ollydebug windbg Wireshark x64debug Após passar por essas verificações, ele usa o cliente web .NET para acessar os seguintes URLs para entrega adicional da carga útil: https[://]zapgrande[.]com/api/v1/19230d53a96d4facbead047f645e02b8 : Entrega o Maverick.Stage2 que é um TrojanSpy. https[://]zapgrande[.]com/api/v1/252d6ed3bb6d49228181a1 : Fornece uma DLL de download associada ao sequestro do WhatsApp Web. Um cabeçalho personalizado é transmitido durante a conexão com o URL https[://]zapgrande[.]com/api/v1/{Identificador de Endpoint baseado em GUID com hash} , que inclui um X-Timestamp contendo o carimbo de data/hora de execução e um X-Request-Hash consistindo em um valor codificado em Base64. O cabeçalho X-Request-Hash contém um valor HMACSHA256 codificado em Base64, derivado da string formatada como {Identificador de Endpoint baseado em GUID com hash}|{Timestamp}|MaverickBot . Essa string é transformada em hash usando " MaverickZapBot2025SecretKey12345 " como chave secreta, e o hash resultante é então codificado em Base64 para criar o valor do cabeçalho. Assim que a conexão adequada (com o cabeçalho personalizado correto) for estabelecida, os URLs retornarão um shellcode criptografado, que a DLL .NET descriptografa e, posteriormente, injeta em instâncias separadas de processos powershell_ise.exe suspensos que ela cria, utilizando as APIs listadas abaixo. Carregador de terceiro estágio O shellcode injetado no powershell_ise.exe é responsável por descriptografar o payload da próxima etapa e carregá-lo por meio do CLR hosting, conforme demonstrado pelas APIs observadas durante a execução e enumeradas abaixo. Primeira carga útil Maverick.EstágioDois Uma das cargas úteis recuperadas é um executável .NET, denominado Maverick.StageTwo , conforme indicado pelas strings encontradas dentro do binário. O malware estabeleceu persistência criando um arquivo BAT ofuscado, caso ainda não exista, e o armazena na pasta %User Startup% com o nome HealthApp-{6 caracteres aleatórios de um GUID gerado}.bat . Este é o mesmo arquivo em lote baixado do arquivo LNK. O malware identifica se a janela ativa pertence a um processo de navegador (Chrome, Firefox, Edge, Brave ou Internet Explorer) e extrai o URL atual da janela do navegador ativo. Ele inclui uma verificação específica e fixa para " navegador exclusivo bradesco " e retorna " banco.bradesco " se detectado, indicando que este malware tem como alvo específico clientes bancários brasileiros. O trojan monitora continuamente a URL ativa do navegador do usuário e executa payloads maliciosos condicionalmente quando sites específicos são visitados. A função é executada em um loop infinito, primeiro descriptografando uma string base64 codificada para obter uma lista de domínios-alvo e, em seguida, verificando a cada 3 segundos se a URL atual do navegador corresponde a algum desses domínios. A investigação da Trend mostra que esta campanha teve como alvo a região da América Latina, com os atacantes tentando atingir as seguintes instituições financeiras no Brasil: contas[.]binance[.]com banco[.]bradesco bancobmg[.]com[.]br bancobrasil[.]com[.]br bancobs2[.]com[.]br bancofibra[.]com[.]br bancopan[.]com[.]br bancotopazio[.]com[.]br banese[.]com[.]br banestes[.]b[.]br banestes[.]com[.]br banrisul[.]com[.]br bb[.]com[.]br binance[.]com bitcointrade[.]com[.]br blockchain[.]com bradesco[.]com[.]br brbbanknet[.]brb[.]com[.]br btgmais[.]com caixa[.]gov[.]br cidadetran[.]bradesco citidirect[.]com contaonline[.]viacredi[.]coop[.]br credisan[.]com[.]br credisisbank[.]com[.]br ecode[.]daycoval[.]com[.]br electrum empresas[.]original[.]com[.]br foxbit[.]com[.]br gerenciador[.]caixa[.]gov[.]br ib[.]banpara[.]b[.]br ib[.]brde[.]com[.]br ibpf[.]sicredi[.]com[.]br ibpj[.]original[.]com[.]br ibpj[.]sicredi[.]com[.]br internetbanking[.]banpara[.]b[.]br internetbanking[.]confesol[.]com[.]br itau[.]com[.]br loginx[.]caixa[.]gov[.]br mercadobitcoin[.]com[.]br mercmercadopago[.]com[.]br mercantildobrasil[.]com[.]br meu[.]original[.]com[.]br ne12[.]bradesconetetempresa[.]b[.]br nel[.]bnb[.]gov[.]br pf[.]santandernet[.]com[.]br pj[.]santandernetibe[.]com[.]br desempenho[.]com[.]br safra[.]com[.]br safraempresas[.]com[.]br sicoob[.]com[.]br sicredi[.]com[.]br sofisa[.]com[.]br sofisadireto[.]com[.]br pedra[.]com[.]br tribanco[.]com[.]br unicred[.]com[.]br uniprime[.]com[.]br uniprimebr[.]com[.]br www[.]banestes[.]com[.]br www[.]itau[.]com[.]br www[.]rendimento[.]com[.]br www2s[.]bancoamazonia[.]com[.]br wwws[.]uniprimedobrasil[.]com[.]br zeitbank[.]com[.]br O malware também monitora a atividade do usuário para identificar visitas a sites específicos de bancos brasileiros. Utilizando correspondência de domínio e análise de conteúdo HTML, ele detecta quando os usuários acessam páginas de login de instituições como Banco do Brasil, Caixa Econômica Federal, Itaú e Bradesco. Se o site atual corresponder a domínios bancários brasileiros específicos, ele descriptografa uma grande matriz de bytes codificada, carrega dinamicamente os bytes descriptografados como um assembly .NET na memória usando Assembly.Load() , localiza o ponto de entrada do assembly e cria um delegado para invocá-lo. Agente Maverick. A carga útil subsequente é um executável .NET conhecido como Maverick.Agent , que apresenta capacidades de roubo de informações e credenciais, conforme evidenciado pelas classes públicas contidas no binário .NET. Inicialmente, o malware verifica se está operando em um sistema no Brasil por meio da validação de geolocalização. Mais uma vez, vemos mecanismos anti-análise que burlam o acesso/execução externa fora do Brasil e soluções automatizadas de sandbox sem opções de personalização. Nesta etapa, ele utiliza quatro critérios: fuso horário, localidade, região e formato de data utilizado no Brasil. A execução é confirmada se pelo menos dois desses critérios forem atendidos. O sistema está no fuso horário brasileiro.
Entre UTC-5 e UTC-2 A localidade do sistema contém uma das seguintes sequências de caracteres: "pt-br"
"pt_br" "português" "brasil" A região do sistema está definida como uma das seguintes opções: Nome da região ISO de duas letras = "BR"
Nome da região ISO de três letras = "BRA" Nome da região = "brasil" ou "brasil" O horário do sistema está configurado para o formato brasileiro: "dd/mm/aaaa (Formato padrão brasileiro)
"dd/mm/aa" (Ano curto brasileiro) "dd/mm" (Brasileiro Mínimo) Em seguida, estabelece um canal de comunicação C&C, habilitando o reconhecimento de DPI para garantir o dimensionamento adequado da tela e, posteriormente, instancia um WatsonClient que se conecta ao servidor malicioso " adoblesecuryt[.]com " pela porta 443 (HTTPS). Comandos de backdoor Este malware exfiltra diversos detalhes do sistema e os transmite para seu servidor de comando e controle (C&C). Especificamente, ele coleta: Nome do computador Nome e versão do sistema operacional Endereço MAC Arquitetura do SO Versão do malware Número de monitores conectados Uma vez que o malware estabelece uma base no sistema comprometido, ele pode receber e executar uma ampla gama de instruções enviadas por seu servidor de comando e controle (C&C), como as seguintes: táticas avançadas de phishing com sobreposição de janela Ao focar nos comandos GenerateNewWindowLocked e GenerateWindowRequest , este malware demonstra um salto significativo em sofisticação em comparação com as técnicas tradicionais de roubo de informações. O comando GenerateNewWindowLocked executa uma técnica de bloqueio de tela gerando janelas em tela cheia e sempre visíveis com os seguintes atributos: Bloqueia a entrada do usuário (InputBlocker.StartBlocking()) , restringindo as interações com o teclado e o mouse. Apresenta notificações falsas de atualização do sistema ou telas de diagnóstico de segurança. Cria sobreposições em tela cheia que permanecem visíveis, ficando sempre em primeiro plano, ocultando-se da barra de tarefas, impedindo o redimensionamento e cobrindo toda a tela. O comando GenerateWindowRequest representa uma evolução avançada em relação aos mecanismos básicos de bloqueio de tela, implementando interfaces interativas de phishing projetadas para capturar credenciais bancárias confidenciais. A Figura 24 ilustra o que funciona como um Trojan bancário. O malware pode criar janelas sobrepostas que aparecem sobre sites bancários legítimos para roubar credenciais de usuários e tokens de autenticação. Ele exibe formulários falsos para entrada de senhas, assinaturas eletrônicas ou códigos QR, ajusta dinamicamente o tamanho e a posição da sobreposição para corresponder à página bancária subjacente e cria "buracos" transparentes na sobreposição para que pareça perfeitamente integrada ao site real, enquanto captura informações confidenciais do usuário. As janelas sobrepostas são projetadas para imitar interfaces bancárias legítimas, como evidenciado pelas classes HomeInfo. Além disso, arquivos PNG codificados em Base64 correspondentes a instituições financeiras reais foram identificados e são utilizados na construção dessas janelas sobrepostas. A investigação de tendências revelou que o malware tentou atingir instituições como Banco do Brasil, Bradesco, Binance, Caixa Econômica Federal (CEF), Itaú Unibanco, Mercado Pago, Banco do Nordeste, Santander e Sicredi. Vale ressaltar que as corretoras de criptomoedas estão incluídas entre as instituições visadas dessa forma. O malware também pode manipular janelas e detecta especificamente aplicativos Java com o nome de classe " SunAwtFrame " (que o Sicoobnet usa) e sobrescreve deliberadamente o título da janela com a string fixa " Sicoobnet Empresarial ", que é um aplicativo bancário brasileiro; isso sugere uma tentativa de se passar pelo aplicativo bancário legítimo. Segunda carga útil A segunda carga útil é um executável .NET usado para sequestrar o WhatsApp. Após ser carregado via CLR Hosting, ele cria uma thread que verifica a localidade do sistema (en-US e pt-BR), a região (EUA e Brasil) e o formato de data abreviado (M/D/AAAA e DD/MM). Se todas as verificações forem bem-sucedidas, ele prossegue com o download do componente do WhatsApp e o carrega usando Assembly.Load . O malware inclui um componente especificamente projetado para atacar contas do WhatsApp. Este binário verifica a presença de dados do navegador relacionados ao WhatsApp e será encerrado caso esses dados não sejam encontrados, garantindo que ele opere apenas em sistemas com uma sessão ativa e conectada do WhatsApp. Para automatizar as interações com o navegador e conectar-se ao WhatsApp Web, o malware instala o Selenium e um Chromedriver correspondente em %userprofile%\local\temp . O Selenium inicia e controla o navegador por meio do Chromedriver, enquanto um pequeno pacote JavaScript, wppconnect.js , chama as funções internas do WhatsApp Web para enviar mensagens e mídias (incluindo arquivos ZIP). Por meio dessa conexão automatizada, o malware é capaz de enviar mensagens e arquivos ZIP via WhatsApp, possibilitando tanto a disseminação automatizada quanto ataques de engenharia social. Durante a análise, os pesquisadores identificaram a mensagem real enviada pelo malware através do WhatsApp. Confirmou-se que essa mensagem correspondia a capturas de tela de mensagens maliciosas do WhatsApp que têm circulado online, validando a conexão entre as infecções observadas e a atividade real de engenharia social. Comportamento e evasão pós-infecção Após a infecção inicial, este malware continua a operar principalmente como uma ameaça de autopropagação, com as evidências atuais sugerindo que seu principal objetivo é a distribuição em larga escala, em vez de causar comprometimento mais profundo do sistema. Até o momento da redação deste texto, os casos relatados não apresentam indícios significativos de exfiltração de dados ou criptografia de arquivos. Vale ressaltar, no entanto, que campanhas brasileiras utilizando técnicas semelhantes, como atalhos LNK e scripts do PowerShell, já tiveram como alvo dados financeiros. Para evitar a detecção e manter a persistência, o malware emprega diversas estratégias: utiliza domínios ofuscados e com erros de digitação, como “sorvetenopotel”, que se assemelha bastante à expressão brasileira inofensiva “sorvete no pote”. Essa tática ajuda a infraestrutura maliciosa a se misturar com o tráfego legítimo e evitar a detecção imediata. A Trend Research também observou possíveis ligações com infraestrutura adicional, incluindo domínios como cliente[.]rte[.]com[.]br , que foram usados ​​para distribuição de malware nos dias que antecederam campanhas de maior escala. Essas descobertas reforçam os esforços contínuos dos atacantes para atualizar e diversificar seus métodos de distribuição, visando o máximo alcance e discrição. Conclusão A campanha Water Saci demonstra como os agentes maliciosos estão cada vez mais explorando plataformas de comunicação populares, como o WhatsApp, para alcançar uma propagação rápida e em larga escala de malware com interação mínima do usuário. Combinando táticas de phishing convincentes e comprovadas, exploração automatizada de sessões e técnicas de evasão, é provável que o Water Saci se espalhe rapidamente. Vigilância, conscientização do usuário e controles de segurança eficazes são essenciais para mitigar essa e outras ameaças semelhantes. A Trend Micro continua monitorando essa campanha de perto e recomenda manter as defesas atualizadas, além de se manter informado sobre as técnicas de ataque emergentes direcionadas a plataformas de mensagens. Recomendações de defesa Para minimizar os riscos associados à campanha Water Saci, a Trend recomenda vários itens práticos de defesa inicial: Desative os downloads automáticos no WhatsApp. Desative os downloads automáticos de mídia e documentos nas configurações do WhatsApp para reduzir a exposição acidental a arquivos maliciosos. Controle a transferência de arquivos em aplicativos pessoais. Use políticas de segurança de endpoint ou firewall para bloquear ou restringir a transferência de arquivos por meio de aplicativos pessoais como WhatsApp, Telegram ou WeTransfer em dispositivos gerenciados pela empresa. Se sua organização oferece suporte a BYOD (Traga Seu Próprio Dispositivo), implemente listas de permissão de aplicativos rigorosas ou conteinerização para proteger ambientes sensíveis. Aprimore a Conscientização do Usuário. A vitimologia da campanha Water Saci sugere que os atacantes estão visando empresas. Recomenda-se que as organizações ofereçam treinamento de segurança regular para ajudar os funcionários a reconhecer os perigos de baixar arquivos por meio de plataformas de mensagens. Oriente os usuários a evitar clicar em anexos inesperados ou links suspeitos, mesmo que venham de contatos conhecidos, e promova o uso de canais seguros e aprovados para a transferência de documentos comerciais. A implementação dessas recomendações ajudará organizações e indivíduos a se defenderem melhor contra ameaças de malware transmitidas por meio de aplicativos de mensagens. Segurança proativa com Trend Vision One™ O Trend Vision One️ ™ é a única plataforma de cibersegurança empresarial com inteligência artificial que centraliza a gestão da exposição a riscos cibernéticos, as operações de segurança e uma proteção robusta em camadas. Essa abordagem holística ajuda as empresas a prever e prevenir ameaças, acelerando os resultados de segurança proativos em todo o seu ambiente digital. Elimine pontos cegos de segurança, concentre-se no que é mais importante e eleve a segurança a um patamar de parceira estratégica para a inovação, especialmente em casos de novas ameaças de malware, como a discutida neste blog. Inteligência de Ameaças Trend Vision One™ Para se manterem à frente das ameaças em constante evolução, os clientes da Trend podem acessar o Trend Vision One™ Threat Insights . Este serviço fornece as informações mais recentes da Trend™ Research sobre ameaças emergentes e agentes maliciosos. Aplicativo Trend Insights Mais consultas de busca estão disponíveis para clientes do Trend Vision One com a licença Threat Insights ativada. Agentes de Ameaça: Water Saci Ameaças emergentes: WhatsApp sob ataque: malware de propagação automática atinge usuários brasileiros Relatórios de Inteligência da Trend Vision One (Análise do COI) Confira: WhatsApp sob ataque: malware de propagação automática atinge usuários brasileiros Perguntas de caça Aplicativo de busca Trend Vision One Os clientes do Trend Vision One podem usar o aplicativo de busca para encontrar ou localizar os indicadores maliciosos mencionados nesta postagem do blog com base nos dados de seu ambiente. Procure por conexões de saída para endereços IP maliciosos conhecidos associados ao Comprovante WhatsApp. Indicadores de Compromisso (IoCs) Os indicadores de compromisso podem ser encontrados aqui .

This blog was updated on October 4, 2025, 2:00 PM EST with information about the payload.

Trend™ Research  is currently investigating an aggressive malware campaign that leverages online instant messaging platform WhatsApp as its primary infection vector. Unlike traditional attacks focused on theft or ransomware, this campaign is engineered for speed and propagation, abusing social trust and automation to spread among Windows users. Trend Research analysis identifies the campaign as Water Saci, with the WhatsApp malware identified as SORVEPOTEL. Currently, it is most active in Brazil.

SORVEPOTEL has been observed to spread across Windows systems through convincing phishing messages with malicious ZIP file attachments. Interestingly, the phishing message that contains the malicious file attachment requires users to open it on a desktop, suggesting that threat actors might be more interested in targeting enterprises rather than consumers. Once opened, the malware automatically propagates via WhatsApp Web, causing infected accounts to be banned due to excessive spam activity.

Once decoded, the PowerShell command generates a URL that points to the command-and-control (C&C) server. Using  Net.WebClient, the script downloads content from this address, which is then immediately executed in memory via Invoke-Expression. The downloaded payload is a PowerShell script that reflectively loads a .NET DLL that pulls shellcode from the C&C server, injects it into powershell_ise.exe to monitor banking-related activity, and supports propagation (including via WhatsApp) while maintaining contact with multiple C&C servers. More details on the payload’s behavior and techniques areprovided in the following sections.

Trend's continued monitoring reveals a campaign that not only destabilizes individual users and companies but also offers a blueprint for similar attacks globally. This blog serves as an urgent call to elevate awareness, deploy modern defensive tactics, and proactively monitor heavily used communications channels. This includes evaluating if your users really need to use WhatsApp, and have clear BYOD policies in place if this is the case. Attackers know the big investment of companies in common attack vectors such as e-mail and web gateways and so get a ride via BYOD of mobiles. The false sense of urgency impressed upon the user to open their computer and execute the file bypasses the initial layer of security which is the user’s distrust and therefore the endpoint layer.

According to Trend Research telemetry, early campaign activity suggests a regional focus on Brazil, with 457 of the 477 cases we detected as of writing are from Brazil.

Trend Research telemetry also shows that SORVEPOTEL has impacted government and public service organizations the most, but has also victimized organizations in manufacturing, technology, education, and construction.

Initial infection vector

The infection begins when a user receives a phishing message via WhatsApp from a compromised contact, typically an account belonging to a friend or colleague making the message appear legitimate. 

The message has a ZIP archive attachment, bearing the name "RES-20250930_112057.zip,” or "ORCAMENTO_114418.zip," or something similarly disguised as a benign document, such as a receipt, budget, or health app-related file. Exploiting trust in WhatsApp conversations, the message, which is in Portuguese, encourages the user to "baixa o zip no PC e abre" (download the ZIP on PC and open it).

Additionally, evidence shows that email is another possible initial infection vector for this campaign. Several phishing emails have been observed distributing ZIP attachments with names like "COMPROVANTE_20251001_094031.zip," "ComprovanteSantander-75319981.682657420.zip," and "NEW-20251001_133944-PED_1273E322.zip." These emails are sent from addresses that appear legitimate, often using subjects such as "Documento de Rafael B," "Zip," or "Extrato" to entice recipients into opening the malicious attachment.   

Execution of malicious LNK file

Upon extracting the ZIP file, the victim discovers a Windows shortcut (.LNK) file. When the LNK file is executed, this shortcut covertly launches a command-line or PowerShell script that downloads the primary malware payload from attacker-controlled domains.

By posing as a benign shortcut, the LNK file can evade basic antivirus detection. Similar activity is observed across various related domains, such as sorvetenopoate[.]com, sorvetenoopote[.]com, etenopote[.]com, expahnsiveuser[.]com, sorv[.]etenopote[.]com, and sorvetenopotel[.]com, all of which serve as API endpoints for the malicious payload delivery. 

The decrypted command retrieves a malicious script from a specified URL and executes it in memory using the Invoke-Expression (IEX) function. It runs in hidden mode (-w hidden) to evade user notice and leverages the encoded command (-enc) feature for additional payload obfuscation.

Batch script download and persistence

The payload downloaded by the script is usually a batch file (.BAT), designed to establish persistence on the infected system. This is achieved by copying itself into the Windows Startup folder, ensuring that the malware runs automatically every time the computer boots.  

The batch script utilizes several for loops to assemble and run a PowerShell command. This command is executed in a concealed window (-windowstyle hidden), with its parameters provided in Base64 encoded form (-enc) for added obfuscation.

Once decoded, the PowerShell command generates a URL that points to the command-and-control (C&C) server. Using Net.WebClient, the script downloads content from this address, which is then immediately executed in memory via Invoke-Expression. The malware maintains communication with multiple C&C servers, enabling it to receive further instructions or retrieve additional malicious components if required.

WhatsApp web session hijack and automated propagation

Trend Research analysis found that a key feature of this malware is its ability to detect whether WhatsApp Web is active on the infected machine.

When detected, the malware leverages this session to automatically distribute the same malicious ZIP file to all contacts and groups associated with the victim’s compromised account, rapidly propagating itself. 

This automated spreading results in a high volume of spam messages and frequently leads to account suspensions or bans due to violations of WhatsApp’s terms of service. 

Payload technical analysis

First stage loader

The batch file obtains a PowerShell script that is executed directly in memory, subsequently initiating the reflective loading of a .NET DLL. Analysis shows that multiple PowerShell scripts can be retrieved from various URLs, indicating that the payload may differ depending on the source. However, if the script is downloaded from the same URL, it consistently loads the same binary.

Second stage loader

The binary that is loaded reflectively is a .NET DLL, designed to connect to two distinct URLs to obtain separate payloads. Before executing its main functions, it implements anti-analysis measures by scanning for specific process names commonly associated with debugging or reverse engineering tools. If any of the following processes are detected, the DLL will terminate itself to evade analysis.

• apimonitor
• burp
• fiddler
• ghidra
• ida
• immunity
• ollydebug
• windbg
• wireshark
• x64debug

After passing these checks, it uses the .NET Web Client to access the following URLs for further payload delivery:

• https[://]zapgrande[.]com/api/v1/19230d53a96d4facbead047f645e02b8: Delivers the Maverick.Stage2 which is a TrojanSpy.
• https[://]zapgrande[.]com/api/v1/252d6ed3bb6d49228181a1: Provides a downloader DLL associated with hijacking WhatsApp Web.

A custom header is transmitted during the connection to the URL https[://]zapgrande[.]com/api/v1/{Hashed GUID-based Endpoint Identifier}, which includes an X-Timestamp containing the execution timestamp, and an X-Request-Hash consisting of a Base64-encoded value. 

The X-Request-Hash header contains a Base64-encoded HMACSHA256 value, derived from the string formatted as {Hashed GUID-based Endpoint Identifier}|{Timestamp}|MaverickBot. This string is hashed using "MaverickZapBot2025SecretKey12345" as the secret key, and the resulting hash is then encoded in Base64 to create the header value.

Once proper connection (with the proper custom header) is established, the URLs will return an encrypted shellcode, which the .NET DLL decrypts and subsequently injects into separate instances of suspended powershell_ise.exe processes it creates, utilizing the APIs listed below.

Third stage loader

The shellcode injected into powershell_ise.exe is responsible for decrypting the next-stage payload and loading it via CLR hosting, as demonstrated by the APIs observed during runtime and enumerated below.

First payload

Maverick.StageTwo

One of the retrieved payloads is a .NET executable, which is referred to as Maverick.StageTwo, as indicated by the strings found within the binary.

The malware established persistence by creating an obfuscated BAT file, if one is not already present, and stores it in the %User Startup% with the file name HealthApp-{6 Random Characters from Generated GUID}.bat. This is the same batch file downloaded from the LNK file.

The malware then identifies if the active window belongs to a browser process (Chrome, Firefox, Edge, Brave, or Internet Explorer) and then extracts the current URL from the active browser window. It includes a specific hardcoded check for "navegador exclusivo bradesco" (Bradesco's exclusive browser) and returns "banco.bradesco" if detected, indicating this malware specifically targets Brazilian banking customers. 

The trojan continuously monitors the user's active browser URL and conditionally executes malicious payloads when specific target websites are visited. The function runs in an infinite loop, first decrypting a hardcoded base64 string to obtain a list of target domains, then checking every 3 seconds if the current browser URL matches any of these domains.

Trend’s investigation shows that this campaign focused its target on the Latin American region, with the attackers making attempts on the following financial institutions in Brazil:

• accounts[.]binance[.]com
• banco[.]bradesco
• bancobmg[.]com[.]br
• bancobrasil[.]com[.]br
• bancobs2[.]com[.]br
• bancofibra[.]com[.]br
• bancopan[.]com[.]br
• bancotopazio[.]com[.]br
• banese[.]com[.]br
• banestes[.]b[.]br
• banestes[.]com[.]br
• banrisul[.]com[.]br
• bb[.]com[.]br
• binance[.]com
• bitcointrade[.]com[.]br
• blockchain[.]com
• bradesco[.]com[.]br
• brbbanknet[.]brb[.]com[.]br
• btgmais[.]com
• caixa[.]gov[.]br
• cidadetran[.]bradesco
• citidirect[.]com
• contaonline[.]viacredi[.]coop[.]br
• credisan[.]com[.]br
• credisisbank[.]com[.]br
• ecode[.]daycoval[.]com[.]br
• electrum
• empresas[.]original[.]com[.]br
• foxbit[.]com[.]br
• gerenciador[.]caixa[.]gov[.]br
• ib[.]banpara[.]b[.]br
• ib[.]brde[.]com[.]br
• ibpf[.]sicredi[.]com[.]br
• ibpj[.]original[.]com[.]br
• ibpj[.]sicredi[.]com[.]br
• internetbanking[.]banpara[.]b[.]br
• internetbanking[.]confesol[.]com[.]br
• itau[.]com[.]br
• loginx[.]caixa[.]gov[.]br
•  mercadobitcoin[.]com[.]br
• mercamercadopago[.]com[.]br
• mercantildobrasil[.]com[.]br
• meu[.]original[.]com[.]br
• ne12[.]bradesconetempresa[.]b[.]br
• nel[.]bnb[.]gov[.]br
• pf[.]santandernet[.]com[.]br
• pj[.]santandernetibe[.]com[.]br
• rendimento[.]com[.]br
• safra[.]com[.]br
• safraempresas[.]com[.]br
• sicoob[.]com[.]br
• sicredi[.]com[.]br
• sofisa[.]com[.]br
• sofisadireto[.]com[.]br
• stone[.]com[.]br
• tribanco[.]com[.]br
• unicred[.]com[.]br
• uniprime[.]com[.]br
• uniprimebr[.]com[.]br
• www[.]banestes[.]com[.]br
• www[.]itau[.]com[.]br
• www[.]rendimento[.]com[.]br
• www2s[.]bancoamazonia[.]com[.]br
• wwws[.]uniprimedobrasil[.]com[.]br
• zeitbank[.]com[.]br

The malware also monitors user activity to identify visits to specific Brazilian banking websites. By utilizing domain matching and HTML content analysis, it detects when users access banking login pages from institutions such as Banco do Brasil, Caixa, Itaú, and Bradesco.

If the current website matches specific Brazilian banking domains, it decrypts a large, hardcoded byte array, dynamically loads the decrypted bytes as a .NET assembly in memory using Assembly.Load(), locates the assembly's entry point and creates a delegate to invoke it. 

Maverick.Agent

The subsequent payload is a .NET executable known as Maverick.Agent, which exhibits information and credential stealing capabilities, as evidenced by the public classes contained within the .NET binary.

The malware initially determines if it is operating on a system in Brazil by conducting geolocation validation. Once again, we see more anti-analysis that bypass external access/execution outside Brazil and automated sandboxing solutions with no customization capabilities.  At this step it uses four criteria: timezone, locale, region, and the date format used in Brazil. Execution is confirmed if at least two of these criteria are met:

• System is in Brazilian Timezone
  
  • Between UTC-5 to UTC-2
• System Locale contains either of the following strings:
  • "pt-br"
    
    • "pt_br"
    • "portuguese"
    • "brazil"
• System Region is set to either of the following;
  • Two Letter ISO RegionName = "BR"
    
    • Three Letter ISO RegionName = "BRA"
    • Region name = "brazil" or "brasil"
• System Time is set to Brazilian Format:
  • "dd/mm/yyyy (Standard Brazilian)
    
    • "dd/mm/yy" (Short year Brazilian)
    • "dd/mm" (Minimal Brazilian)

Next, it establishes a C&C communication channel by enabling DPI awareness to ensure appropriate display scaling and subsequently instantiates a WatsonClient that connects to the malicious server "adoblesecuryt[.]com" over port 443 (HTTPS).

Backdoor commands

This malware exfiltrates a variety of system details and transmits them to its command-and-control (C&C) server. Specifically, it harvests:

• Computer Name
• Operating System Name and Version
• MAC Address
• OS Architecture
• Malware Version
• Number of Monitors Attached

Once the malware establishes a foothold on the compromised system, it can receive and perform a wide range of instructions sent by its C&C server, such as the following:

Advanced window overlay phishing tactics

Focusing on the commands GenerateNewWindowLocked and GenerateWindowRequest, this malware exhibits a significant leap in sophistication compared to traditional infostealing techniques.

The GenerateNewWindowLocked command executes a screen-locking technique by generating full-screen, topmost windows with the following attributes:

• Blocks user input (InputBlocker.StartBlocking()), restricting keyboard and mouse interactions.

• Presents fake system update notifications or security diagnostic screens.

• Creates full-screen overlays that remain visible by staying topmost, hiding from the taskbar, blocking resizing, and covering the entire monitor.

The GenerateWindowRequest command represents an advanced evolution beyond basic screen-locking mechanisms, implementing interactive phishing interfaces engineered to capture sensitive banking credentials. Figure 24 illustrates what acts as a banking Trojan. 

The malware can create overlay windows that appear on top of legitimate banking websites to steal user credentials and authentication tokens. It displays fake input forms for passwords, electronic signatures, or QR codes, dynamically adjusts the overlay size and position to match the underlying banking page, and creates transparent "holes" in the overlay to make it appear seamlessly integrated with the real website while capturing sensitive user input.

The overlay windows are designed to imitate legitimate banking interfaces, as evidenced by the HomeInfo classes. Additionally, Base64-encoded PNG files corresponding to real financial institutions were identified and are utilized in constructing these overlay windows. Trend investigation found that the malware tried to target institutions such as Banco do Brasil, Bradesco, Binance, Caixa Econômica Federal (CEF), Itaú Unibanco, Mercado Pago, Banco do Nordeste, Santander, and Sicredi. 

It is noteworthy that crypto exchanges are included in the institutions targeted in this manner.

The malware can also manipulate windows and specifically detects Java applications with the class name "SunAwtFrame" (which Sicoobnet uses) and deliberately overwrites their actual window title with the hardcoded string "Sicoobnet Empresarial” which is a Brazilian banking application; this suggests an attempt at impersonating the legitimate banking application.

Second payload

The second payload is a .NET executable used to hijack WhatsApp. After being loaded via CLR Hosting, it creates a thread that checks the system’s locale (en-US and pt-BR), region (US and Brazil), and short date pattern (M/D/YYYY and DD/MM). If all checks pass, it proceeds to download the WhatsApp component and loads it using Assembly.Load. The malware includes a component specifically designed to target WhatsApp accounts. This binary checks for WhatsApp-related browser data and will terminate if such data is not found, ensuring that it only operates on systems with an active, logged-in WhatsApp session.

To automate browser interactions and connect to WhatsApp Web, the malware drops Selenium and a matching Chromedriver under %userprofile%\local\temp. Selenium starts and controls the browser via Chromedriver, while a small JavaScript bundle, wppconnect.js calls WhatsApp Web’s internal functions to send messages and media (including ZIPs). 

Through this automated connection, the malware is capable of sending messages and ZIP files via WhatsApp, enabling both automated spreading and social engineering attacks. During analysis, researchers identified the actual message deployed by the malware through WhatsApp. This message was confirmed to match screenshots of malicious WhatsApp messages that have been circulating online, validating the connection between observed infections and real-world social engineering activity.

Post-infection behavior and evasion

After initial infection, this malware continues to operate primarily as a self-propagating threat, with current evidence suggesting that its main objective is widespread distribution rather than causing deeper system compromise.

As of writing, reported cases show no significant signs of data exfiltration or file encryption. It is worth noting, however, that Brazilian campaigns using similar techniques, such as LNK shortcuts and PowerShell scripts, have previously targeted financial data.

To evade detection and maintain persistence, the malware employs several strategies: it uses obfuscated and typo squatted domains, such as “sorvetenopotel” which closely resembles the innocuous Brazilian phrase “sorvete no pote” (ice cream in a cup). This tactic helps malicious infrastructure blend in with legitimate traffic and avoid immediate scrutiny.

Trend Research also observed potential links to additional infrastructure, including domains such as cliente[.]rte[.]com[.]br, which were used for malware distribution in the days leading up to larger campaign activity. These findings underscore the attackers’ continual efforts to update and diversify their delivery methods for maximum reach and stealth.

Conclusion

The Water Saci campaign demonstrates how threat actors are increasingly leveraging popular communication platforms like WhatsApp to achieve rapid, large-scale malware propagation with minimal user interaction. By combining convincing tried-and-tested phishing tactics, automated session exploitation, and evasion techniques, Water Saci is likely to spread fast.

Vigilance, user awareness, and effective security controls are essential to mitigating this and similar threats. Trend Micro continues to monitor this campaign closely and recommends maintaining up-to-date defenses while staying informed about emerging attack techniques targeting messaging platforms.

Defense recommendations

To minimize the risks associated with the Water Saci campaign, Trend recommends several practical initial defense items:

• Disable Auto-Downloads on WhatsApp. Turn off automatic downloads of media and documents in WhatsApp settings to reduce accidental exposure to malicious files.
• Control File Transfers on Personal Apps. Use endpoint security or firewall policies to block or restrict file transfers through personal applications like WhatsApp, Telegram, or WeTransfer on company-managed devices. If your organization supports BYOD, enforce strict app whitelisting or containerization to protect sensitive environments.
• Enhance User Awareness. The victimology of the Water Saci campaign suggests that attackers are targeting enterprises. Organizations are recommended to provide regular security training to help employees recognize the dangers of downloading files via messaging platforms. Advise users to avoid clicking on unexpected attachments or suspicious links, even when they come from known contacts, and promote the use of secure, approved channels for transferring business documents.

Implementing these recommendations will help organizations and individuals better defend against malware threats delivered through messaging applications.

Proactive security with Trend Vision One™ 

Trend Vision One️™ is the only AI-powered enterprise cybersecurity platform that centralizes cyber risk exposure management, security operations, and robust layered protection. This holistic approach helps enterprises predict and prevent threats, accelerating proactive security outcomes across their respective digital estate. Eliminate security blind spots, focus on what matters most, and elevate security into a strategic partner for innovation, especially in the cases of novel malware threats as in the one discussed in this blog. 

Trend Vision One ™ Threat Intelligence 

To stay ahead of evolving threats, Trend customers can access Trend Vision One™ Threat Insights. These provide the latest insights from Trend™ Research on emerging threats and threat actors.   

Trend Insights  App

More hunting queries are available for Trend Vision One customers with Threat Insights entitlement enabled.

• Threat Actors: Water Saci
• Emerging Threats:  WhatsApp Under Siege: Self-Propagating Malware Targets Brazilian Users

Trend Vision One Intelligence Reports (IOC Sweeping)  

• Check: WhatsApp Under Siege: Self-Propagating Malware Targets Brazilian Users

Hunting Queries

Trend Vision One Search App  

Trend Vision One customers can use the Search App to match or hunt the malicious indicators mentioned in this blog post with data in their environment. 

Search for outbound connections to known malicious IP addresses associated with Comprovante WhatsApp 

eventId:3 AND eventSubId:204 AND (dst:109.176.30.141 OR dst:165.154.254.44 OR dst:23.227.203.148 OR dst:77.111.101.169)

Indicators of Compromise (IoCs)

Indicators of Compromise can be found here.