Bitdefender descubrió que miles de celulares Android económicos, equipados con procesadores MediaTek, salen de fábrica con un malware integrado llamado Midnight Mimosa.
Este código malicioso opera en silencio desde el primer encendido para instalar aplicaciones, generar fraude publicitario y convertir los equipos en redes proxy. La situación es crítica porque el usuario no necesita descargar nada para infectarse; el problema viene directamente oculto en la cadena de suministro del fabricante.
Para entender la gravedad del ecosistema de Midnight Mimosa, estas son las tres acciones principales que ejecuta la amenaza:
- Fraude publicitario: Utiliza aplicaciones señuelo (como falsos editores de audio) para abrir anuncios invisibles, generando dinero ilícito a espaldas del usuario.
- Evasión de seguridad: Desactiva temporalmente la Google Play Store para instalar programas maliciosos sin que el filtro de Google Play Protect lo note.
- Secuestro de red: Registra el teléfono en un servidor remoto como un proxy TCP, permitiendo que atacantes oculten tráfico malicioso usando la conexión de internet del propietario.
¿Qué pasó y a quiénes afecta directamente?
Esta campaña lleva activa aproximadamente dos años y ha impactado a miles de dispositivos en más de 150 países. Los reportes de Bitdefender muestran que naciones como México, Brasil, España y Estados Unidos concentran una gran parte de las víctimas.
Se ha detectado principalmente en equipos con nombres de modelo asociados a marcas reconocidas en el mercado de bajo costo, como el Doogee S200 X y el Cubot KINGKONG X.
Además, los investigadores encontraron rastros del malware en teléfonos genéricos que imitan visualmente a modelos populares de empresas como Samsung y Apple.
Por qué importa: una infección imborrable
A diferencia de un virus tradicional que entra por un descuido, las aplicaciones de Midnight Mimosa se disfrazan como componentes esenciales del sistema.
Utilizan nombres técnicos confusos, como “com.android.system.lite”, para pasar desapercibidas en el gestor de archivos.
Al estar instaladas directamente en la partición del sistema y contar con privilegios elevados, los usuarios no pueden eliminar estas amenazas usando el botón de desinstalación normal de Android.
El sistema marca un comportamiento anómalo (como la instalación y borrado de unas 32 aplicaciones vinculadas), pero no permite detener el proceso fácilmente.
Qué sigue para las víctimas y los fabricantes
El origen exacto de la manipulación del firmware sigue siendo un misterio. En foros especializados, propietarios de equipos Doogee explicaron que el problema llegó a través de una actualización oficial del sistema y desapareció al regresar a una versión anterior.
Aunque algunas empresas lanzaron parches que supuestamente corrigen la infección, no han aclarado cómo se vulneraron sus procesos de seguridad.
Para los usuarios afectados, Bitdefender advierte que la limpieza requiere conocimientos técnicos avanzados, como usar la herramienta de desarrollo Android Debug Bridge (ADB) para desactivar el componente a la fuerza.
