El ataque comienza cuando un usuario recibe un archivo comprimido en formato ZIP, disfrazado de un documento legítimo como un recibo de pago, un reporte médico o un comprobante. Dentro de este archivo se oculta un acceso directo de Windows (.LNK) que, al ser ejecutado, descarga un código malicioso desde un servidor remoto. La característica más alarmante es su método de propagación: si el software detecta que el usuario tiene la versión de escritorio de WhatsApp Web abierta, el virus reenvía automáticamente el archivo infectado a todos sus contactos y grupos.

Esta rápida propagación ha llevado a que algunas cuentas sean suspendidas por envío masivo de spam.

A diferencia de otros ataques como el ransomware, el objetivo principal de SORVEPOTEL no parece ser el robo de datos o dinero, sino su propia expansión masiva, lo que puede causar interrupciones y caos en redes personales y corporativas. La empresa de ciberseguridad Trend Micro, que fue la primera en alertar sobre la amenaza, informó que de 477 infecciones, 457 ocurrieron en Brasil, pero advirtió que su expansión a Colombia es inminente.

Para protegerse, las autoridades recomiendan desactivar las descargas automáticas en WhatsApp, no abrir archivos ZIP ni enlaces sospechosos, incluso si provienen de contactos conocidos, y mantener los sistemas operativos y antivirus actualizados.