Bitdefender identificó firmware infectado en dispositivos de bajo costo que convierte los teléfonos en nodos de botnet antes de su primer encendido.
Investigadores de Bitdefender descubrieron una campaña de malware preinstalado en teléfonos Android de bajo costo con plataformas MediaTek, operativa en 150 países. El malware, bautizado Midnight Mimosa, está integrado en el firmware del dispositivo antes de que llegue al usuario final y no puede ser desinstalado mediante métodos convencionales. La detección se produjo mediante App Anomaly Detection, una tecnología de análisis de comportamiento que Bitdefender incorporó a su suite de seguridad móvil en 2023, diseñada específicamente para identificar aplicaciones que cambian su conducta después de pasar controles estáticos iniciales.
Cómo un componente del sistema falso elude la detección tradicional
El paquete principal identificado se llama com.android.system.lite y se presenta como un componente legítimo del sistema Android. No tiene ícono visible y su etiqueta de aplicación es simplemente «System». Sin embargo, su comportamiento lo delata: habilita repetidamente accesos sensibles como Accessibility y Notification Access, instala y desinstala aplicaciones sin relación aparente, y ejecuta su lógica principal desde una biblioteca nativa que solo se activa en tiempo de ejecución. Bitdefender identificó al menos cuatro variantes del malware — com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot y com.android.sys.bcprot — cada una firmada con certificados digitales diferentes, pero todas compartiendo el mismo código malicioso central.
El malware opera con privilegios a nivel de sistema, lo que le permite instalar y desinstalar aplicaciones, otorgar permisos y descargar código desde servidores remotos sin consentimiento del usuario. Esta arquitectura le da a sus operadores control total sobre los dispositivos infectados. La maquinaria real del malware reside en una biblioteca nativa llamada libeasy.so, que descifra un framework oculto. Este framework se comunica con un servidor de comando disfrazado como API meteorológica, desde donde descarga plugins adicionales que ejecutan fraude publicitario y realizan instalaciones silenciosas. Los plugins y payloads viajan como archivos con extensiones engañosas — archivos JAR nombrados como .o y APKs servidos como .png — de modo que una muestra examinada fuera de línea frecuentemente no contiene ningún payload activo.
Treinta y dos aplicaciones falsas que generan ingresos mientras simulan utilidad
El malware puede instalar silenciosamente al menos 32 aplicaciones diferentes disfrazadas de herramientas útiles: bloqueadores de aplicaciones, aplicaciones de clima, gestores de archivos, herramientas de iconos, OCR y editores de audio. Antes de instalar cada payload, el malware desactiva temporalmente Google Play Store — aparentemente para evadir Play Protect — y lo reactiva después. Cuando el usuario está presente, una red de seguridad vuelve a activar la tienda para que nada parezca anómalo. El malware también puede registrar Google Play como fuente de instalación para aplicaciones que nunca provinieron de esa tienda, aunque las aplicaciones genuinas de Play llevan un bloque de firma del lado del servidor llamado frosting que las falsificadas no tienen.
El esquema de monetización es múltiple. Los operadores ejecutan fraude de clics en anuncios, recopilan información de dispositivos y aplicaciones instaladas, y convierten los teléfonos infectados en nodos proxy residenciales para botnets. El acceso a botnets para ataques DDoS es una mercancía cotizada, y cuanto mayor es la botnet, más pueden cobrar los operadores. El componente del sistema no registra los clics fraudulentos directamente. Los ingresos provienen de las aplicaciones de cobertura que instala — aplicaciones de clima, bloqueo de apps, notas y OCR de apariencia real — que cargan anuncios genuinos a través de un SDK publicitario legítimo, mientras una ventana invisible superpuesta registra los anuncios mostrados y la red publicitaria acredita la aplicación de cobertura, no el componente oculto.
Por qué México y Brasil quedan expuestos por su dependencia de dispositivos de bajo costo
Aunque Bitdefender no especificó la distribución geográfica detallada de los 150 países afectados, la estructura del ataque apunta directamente a mercados donde los teléfonos de bajo costo con plataformas MediaTek tienen penetración significativa. En América Latina, México y Brasil concentran la mayor parte de las importaciones de dispositivos Android de gama baja, muchos de ellos de marcas secundarias que dependen de cadenas de suministro con controles de seguridad limitados. La imposibilidad de desinstalar el malware — al estar integrado en el firmware — significa que los usuarios de estos dispositivos quedan expuestos desde el primer encendido, sin ventana de remediación técnica accesible para el usuario final.
El malware se otorga acceso a Accessibility, Notification Access y permisos de lectura y escritura de SMS de Android. Bitdefender no observó el uso activo de los permisos de notificación o SMS durante su análisis, pero los operadores podrían activarlos cuando lo necesiten. El malware también habilita y deshabilita estos permisos repetidamente después de períodos cortos, probablemente para reducir la visibilidad en auditorías de permisos del sistema.
El patrón de rotación que mantiene el malware invisible en el inventario de aplicaciones
Bitdefender observó que las aplicaciones payload se instalan y eliminan repetidamente en los mismos dispositivos. Esta rotación ayuda a la operación a reducir el tiempo que un payload permanece visible en la lista de aplicaciones, rotar hashes de archivo y cambiar el módulo de monetización activo, mientras el componente del sistema subyacente permanece en su lugar. Una de las aplicaciones payload, com.mobile.applock.en, es un proxy TCP de propósito único sin anuncios ni interfaz que inscribe el teléfono como nodo de retransmisión en una red proxy residencial.
El fraude publicitario es ajustable. El plugin muestra anuncios en actividades de pantalla completa y overlays que nadie solicitó, activados cuando la pantalla se enciende o por comandos del operador. Marca esas superficies como seguras, de modo que no aparecen en capturas de pantalla ni grabaciones de pantalla, y dispara clics sintéticos con límites diarios y de tiempo para parecer orgánicos. Las aplicaciones de cobertura actúan como pares en una malla publicitaria, de modo que una aplicación puede generar impresiones que otra aplicación renderiza y por las cuales recibe pago.
Nuestro análisis
Midnight Mimosa confirma un patrón que ya habíamos visto en campañas previas de malware preinstalado, pero con dos diferencias estructurales: la sofisticación del sistema de ocultamiento — bibliotecas nativas que solo se activan en tiempo de ejecución, payloads con extensiones falsas, comunicación con servidores disfrazados como APIs legítimas — y la integración de múltiples vectores de monetización en una sola infraestructura. La combinación de fraude publicitario, recolección de datos y conversión de dispositivos en nodos proxy residenciales sugiere que los operadores están optimizando el retorno por dispositivo infectado, no solo maximizando el volumen de la botnet. La rotación constante de aplicaciones payload y la desactivación temporal de Play Protect indican que los operadores están respondiendo activamente a las técnicas de detección conocidas.
Lo que todavía no se sabe es cómo el malware llega al firmware antes de que los dispositivos salgan de fábrica. Bitdefender no identificó el punto de compromiso en la cadena de suministro — si ocurre en la línea de ensamblaje, en un proveedor de firmware de terceros o en un distribuidor regional — ni si los fabricantes de los dispositivos afectados tienen conocimiento de la infección. Sin esa trazabilidad, cualquier dispositivo de bajo costo con plataforma MediaTek que no provenga de un fabricante con auditorías de firmware documentadas queda bajo sospecha estructural. ¿Cuántos millones de dispositivos ya están en circulación en América Latina con este firmware comprometido, operando como nodos de botnet sin que sus dueños lo sepan?