Bitdefender detecta malware preinstalado en móviles Android de bajo coste en 150 países
Bitdefender identifica la campaña Midnight Mimosa, un malware incrustado en el firmware de teléfonos Android baratos que monetiza anuncios y crea redes proxy zombi.
Por Carlos "Emérito" López Lovera•11 oct 2026•3 min lectura
Puntos Clave
- El malware afecta a miles de terminales en más de 150 países, encabezados por México, Francia e Italia.
- El código malicioso viaja preinstalado en la partición de sistema de modelos MediaTek y no puede desinstalarse de forma convencional.
- Los atacantes despliegan hasta 32 aplicaciones tapadera para fraude publicitario y activan proxys TCP en el puerto 6000.
Bitdefender ha identificado una campaña de software malicioso preinstalado en la partición del sistema de teléfonos Android de bajo coste con procesadores MediaTek, bautizada como Midnight Mimosa. La firma de ciberseguridad constató que el código reside en el firmware de los terminales antes del encendido inicial, lo que impide su desinstalación mediante los menús habituales del sistema operativo.
La operación ha afectado a miles de dispositivos en más de 150 países durante aproximadamente dos años, con mayor volumen de detecciones en México, Francia e Italia, seguidos por Estados Unidos, Alemania, Brasil y España. Los atacantes emplean terminales económicos, clones sin marca oficial y modelos falsificados para monetizar accesos ilegítimos.
Mecanismo de persistencia y evasión de defensas
El componente principal del ataque se disfraza bajo nombres de paquetes del sistema como com.android.system.lite o com.android.sys.prot. Mediante una biblioteca nativa denominada libeasy.so, el software descifra un marco de trabajo que descarga instrucciones desde un servidor de mando disfrazado de interfaz de programación para datos meteorológicos.
Al contar con privilegios de sistema, el ejecutable otorga y revoca permisos avanzados de accesibilidad, lectura de notificaciones y gestión de mensajes SMS sin intervención del usuario. Para eludir las revisiones de Google Play Protect al instalar herramientas secundarias, el malware deshabilita de manera temporal la aplicación oficial de Google Play Store y falsea el registro del origen de instalación, omitiendo el bloque de verificación criptográfica del servidor denominado frosting.
Fraude publicitario y conversión en nodos de retransmisión
La investigación de Bitdefender documenta la descarga silenciosa de al menos 32 aplicaciones de cobertura, entre las que figuran bloqueadores de aplicaciones, lectores ópticos de caracteres y herramientas meteorológicas. Estos programas cargan anuncios válidos a través de bibliotecas de desarrollo legítimas mientras proyectan capas invisibles marcadas como seguras para evitar su registro en capturas de pantalla, ejecutando pulsaciones simuladas con límites programados para imitar el tráfico humano.
Uno de los módulos instalados, com.mobile.applock.en, carece de interfaz visual y funciona como un proxy de red mediante el protocolo TCP a través del puerto 6000. Este componente canaliza el tráfico de terceros a través de la conexión doméstica del dispositivo hacia cuatro dominios rotativos, integrando los teléfonos en una red zombi orientada a la venta de ancho de banda residencial o la ejecución de ataques coordinados de denegación de servicio.
La cadena de suministro y la procedencia del firmware
Los dispositivos comprometidos corresponden en gran medida a fabricantes de terminales económicos como Doogee, en su modelo S200 X, y Cubot, con el KINGKONG X, junto a imitaciones etiquetadas de forma engañosa como supuestos modelos de gamas altas. Gran parte del firmware analizado incluye firmas digitales asociadas a la entidad Shenzhen Zediel, aunque Bitdefender puntualiza que no ha podido determinar si dicha empresa participó activamente en la manipulación o si sus credenciales fueron vulneradas.
La firma también vinculó la infraestructura de control con campañas históricas descritas por Dr.Web, tales como la familia Android.Joker en 2021 y las variantes Android.Phantom y Click registradas en 2025. Además del canal de distribución de fábrica, los investigadores detectaron trece aplicaciones en la tienda Google Play conectadas a los mismos servidores de control bajo dos cuentas de desarrollador distintas.
El vector de remediación exige seguir de cerca las políticas de verificación en los mercados de comercio electrónico internacional y las actualizaciones de imagen de firmware emitidas por los integradores de hardware, dado que la erradicación del software malicioso requiere el uso de comandos avanzados mediante la consola ADB o el flasheo íntegro de la memoria del teléfono.
📖 Glosario de términos
❓ Preguntas Frecuentes
¿Puede un usuario desinstalar Midnight Mimosa desde el menú de aplicaciones de su móvil?
No, porque el componente malicioso está integrado directamente en la partición del sistema del dispositivo antes de su primer encendido. Para eliminarlo se requiere flashear el firmware o inhabilitarlo con comandos mediante la herramienta ADB.
¿Qué marcas y modelos de dispositivos se han visto afectados por este malware?
Los analistas detectaron el software en modelos económicos como Doogee S200 X y Cubot KINGKONG X, además de teléfonos falsificados con procesadores MediaTek que imitaban nombres de modelos inexistentes.
Artículos relacionados
Apoya nuestro periodismo independiente: Si decides invertir en criptomonedas, considera usar nuestro enlace de afiliado de Binance. Tú recibes un bono de bienvenida y nosotros una pequeña comisión.
Aviso: Este contenido no es consejo financiero. Haz tu propia investigación antes de invertir.
