Detectado inicialmente en Brasil, donde ha causado la mayoría de las infecciones registradas, el virus utiliza una sofisticada técnica de ingeniería social para su diseminación masiva. El ataque comienza con la recepción de un archivo comprimido (ZIP) que se hace pasar por un documento legítimo, como un recibo de pago o un reporte médico, enviado por un contacto de confianza. Al abrirlo, se ejecuta un acceso directo de Windows (.LNK) que descarga un código malicioso desde un servidor externo.

La principal característica de este malware es su capacidad de autorreplicación: si el usuario tiene la sesión de WhatsApp Web abierta, el virus reenvía automáticamente el archivo infectado a todos sus contactos y grupos, provocando una rápida propagación en cadena. Según la firma de ciberseguridad Trend Micro, de 477 infecciones iniciales, 457 ocurrieron en Brasil, pero la facilidad de expansión pone en riesgo a toda la región. A diferencia de otros ataques, el objetivo principal de SORVEPOTEL no parece ser el robo de datos o dinero, sino su propagación masiva para causar interrupciones y caos.

Las autoridades recomiendan desactivar las descargas automáticas en WhatsApp, no abrir archivos sospechosos incluso si provienen de contactos conocidos, y mantener los sistemas operativos y antivirus actualizados.