Algunos teléfonos Android económicos llegan al mercado con malware instalado directamente en su firmware. Bitdefender identificó la campaña Midnight Mimosa en miles de dispositivos de más de 150 países durante aproximadamente dos años. México encabeza las detecciones del informe publicado el 8 de octubre.
Cómo funciona la infección
La infección no depende de que el usuario descargue una aplicación sospechosa. El componente principal está alojado en una partición del sistema y tiene permisos para instalar y eliminar aplicaciones sin autorización, conceder permisos sensibles y ejecutar código recibido desde servidores externos.
Durante el análisis, el componente desactivaba temporalmente Google Play Store antes de instalar una carga maliciosa y luego lo habilitaba de nuevo. Según los investigadores, ese comportamiento buscaba reducir las posibilidades de detección. También se encontraron permisos de accesibilidad, notificaciones y SMS, aunque no se observó el uso de algunos de ellos.
Qué equipos están relacionados
Los casos estudiados corresponden a equipos económicos de distintas marcas construidos sobre plataformas MediaTek. Entre los modelos reportados aparecen Doogee S200 X y Cubot KINGKONG X. También se encontraron dispositivos que se presentaban como teléfonos de Samsung o Apple, pero cuyo hardware correspondía a imitaciones.
El hallazgo no demuestra que todos los equipos de esas marcas estén afectados ni permite Authentic el teléfono a partir de la marca que aparece en el sistema. Las cifras de Bitdefender describen los dispositivos observados por la investigación y no constituyen un censo de todos los celulares infectados en el mundo.
Fraude publicitario y proxies residenciales
Los investigadores observaron fraude publicitario y equipos convertidos en nodos de una red de proxies residenciales. En esa modalidad, terceros podrían aprovechar la conexión a internet del teléfono para encaminar tráfico. El análisis no permite atribuir todas las capacidades disponibles del malware a acciones que ya se hayan producido.
Además, se encontraron 13 aplicaciones de Google Play que compartían infraestructura y código de fraude publicitario, aunque no tenían los mismos privilegios del componente preinstalado. El malware utiliza distintos nombres de paquetes que parecen componentes normales de Android, por lo que buscar una sola aplicación no basta para descartar la infección.
Qué significa para el usuario
En los dispositivos afectados, la desinstalación habitual no elimina el componente raíz. Bitdefender señala que la limpieza exige actuar sobre el firmware o deshabilitarlo mediante herramientas técnicas, algo que no resulta sencillo para la mayoría de los compradores.
El informe no ofrece una corrección universal ni garantiza que un restablecimiento de fábrica resuelva el problema. La respuesta duradera depende de los fabricantes y de los vendedores que distribuyen el firmware afectado. La investigación tambiéninqtentó algunos certificados usados para firmar el firmware llevan el nombre Shenzhen Zediel, pero no establecen quién los utilizó ni dónde se introdujo el malware.