Segundo a CNN, o funcionamento do Sorvepotel começa quando o usuário clica no arquivo ZIP ou no link malicioso recebido via WhatsApp, mesmo que a mensagem venha de um contato. Esse arquivo pode conter um atalho do Windows que, quando ativado, aciona scripts (por exemplo em PowerShell) que instalam o malware no dispositivo. Depois disso, se há uma sessão ativa do WhatsApp Web, o malware se aproveita dela para encaminhar automaticamente o mesmo arquivo infectado a todos os contatos e grupos do usuário, gerando uma “infecção em cadeia”.
