Comienza cuando la víctima recibe un mensaje que contiene un archivo comprimido en formato ZIP, el cual aparenta ser un documento legítimo, como un recibo o un informe importante. Dentro de este archivo se encuentra un acceso directo de Windows (.LNK) que, al ser ejecutado, activa un script de PowerShell. Este script se encarga de descargar el malware desde servidores externos. La peligrosidad del virus se multiplica si el usuario tiene la versión de escritorio de WhatsApp activa, ya que el malware puede tomar control de la cuenta y replicarse automáticamente, enviando el archivo infectado a todos los contactos y grupos de la víctima. Además de su capacidad de propagación, SORVEPOTEL puede simular ventanas emergentes falsas, como supuestas actualizaciones de seguridad, y utilizar formularios bancarios fraudulentos para robar credenciales y datos financieros. Hasta la fecha, de las 477 infecciones confirmadas por la empresa de ciberseguridad Trend Micro, 457 ocurrieron en Brasil.

Para protegerse, se recomienda desactivar las descargas automáticas en WhatsApp, no abrir archivos ZIP de remitentes desconocidos, mantener el software actualizado y reportar cualquier actividad sospechosa.