Midnight Mimosa: proxy y fraude en el firmware de Android baratos

Bitdefender ha publicado el análisis de Midnight Mimosa, una campaña de malware que no pide al usuario instalar nada: el código malicioso ya está en el firmware de smartphones Android baratos basados en chips MediaTek, en la partición del sistema, cuando el teléfono sale de la caja. Los dispositivos infectados se usan para fraude publicitario y pueden convertirse en proxies residenciales controlados a distancia.

La noticia la han recogido BleepingComputer, SecurityWeek y Cybersecurity360. Las tres se basan en el informe de Bitdefender; BleepingComputer añade los mensajes de usuarios del foro XDA.

Qué ha pasado

Según Bitdefender, en unos dos años el malware ha aparecido en miles de dispositivos de más de 150 países. Las detecciones más numerosas están en México, Francia e Italia, seguidos de Estados Unidos, Alemania, Brasil y España; SecurityWeek destaca que, por regiones, sobresalen Europa occidental y América.

Entre los modelos que cita BleepingComputer están el Doogee S200 X y el Cubot KINGKONG X, además de teléfonos que imitan productos de Samsung y Apple. En el foro XDA, el dueño de un Doogee Fire 3 Max cuenta que el malware llegó con una actualización oficial del firmware, desapareció al volver a la versión anterior y regresó con la actualización. Para algunos usuarios, actualizaciones posteriores de los fabricantes resolvieron el problema, pero los fabricantes no han explicado cómo llegó el código al firmware.

No se sabe quién modificó el firmware ni en qué punto de la cadena de suministro: Cybersecurity360 menciona como hipótesis un fabricante ODM, un integrador del firmware o un intermediario logístico. Bitdefender encontró firmware firmado con certificados vinculados a Shenzhen Zediel, y precisa que esto no demuestra que la empresa esté implicada.

Detalles técnicos

El componente del sistema. El núcleo es una app del sistema firmada a nivel de plataforma, que se hace pasar por un paquete legítimo de Android: com.android.system.lite, observada después también como com.android.sys.prot y com.android.sys.gmsprot (y, según Cybersecurity360, com.android.sys.bcprot). Con privilegios de sistema instala y elimina apps, concede permisos y ejecuta código descargado del servidor de mando y control, sin intervención del usuario. No se puede desinstalar con el procedimiento normal. Bitdefender vincula a la misma familia también el paquete com.android.non.szcz señalado en XDA.

Los módulos. Desde el C2 llegan unas 32 apps disfrazadas de apps del tiempo, gestores de archivos, bloqueadores de apps, herramientas OCR y editores de audio. Según Cybersecurity360, los payloads cambian con el tiempo, así que permanecen poco en el dispositivo.

Evasión de controles. Antes de instalar un payload, el malware desactiva temporalmente Play Store (com.android.vending), para que Google Play Protect esté apagado durante la instalación, y luego lo reactiva. Según BleepingComputer, algunas variantes falsifican también el instalador registrado, para que las apps parezcan descargadas de Google Play.

Fraude publicitario. Los clics no los genera la app del sistema, sino las apps de cobertura: cargan anuncios reales mediante un SDK publicitario legítimo, los muestran en ventanas invisibles sobre otras apps o los pulsan automáticamente, incluso con el teléfono en reposo.

Proxy residencial. Una app disfrazada de bloqueador de apps, com.mobile.applock.en, contiene un proxy TCP que registra el dispositivo en un servidor remoto y recibe la orden de conectarse a hosts indicados y reenviar tráfico. Así el operador puede sacar su propio tráfico por la conexión de la víctima o llegar a los dispositivos accesibles desde el teléfono. Bitdefender verificó que la infraestructura aceptaba registros, pero su dispositivo de prueba no recibió destinos: el reenvío efectivo de tráfico no está confirmado. Solo Cybersecurity360 menciona un posible uso para ataques DDoS.

También en Google Play. Bitdefender encontró 13 apps en Google Play con el mismo código de fraude y la misma infraestructura; según BleepingComputer están firmadas con 13 certificados distintos y publicadas por al menos dos cuentas, fivedev y CPS Developer. No pueden instalar software en silencio, pero muestran anuncios fuera de su propia interfaz.

Indicadores públicos. Los nombres de los paquetes se indican a continuación; los hashes y las direcciones de los servidores están en el informe de Bitdefender.

MITRE ATT&CK for Mobile (asignación a partir de los hechos publicados): T1474.003 (Supply Chain Compromise: Compromise Software Supply Chain), T1655.001 (Masquerading: Match Legitimate Name or Location), T1407 (Download New Code at Runtime), T1629.003 (Impair Defenses: Disable or Modify Tools), T1643 (Generate Traffic from Victim), T1604 (Proxy Through Victim).

Impacto para las empresas europeas e italianas

Italia está entre los tres países con más detecciones. Para una empresa el riesgo no se limita al teléfono personal de un empleado: los smartphones baratos se compran para almacenes, equipos de campo, turnos o como teléfonos de servicio, y se conectan al wifi de la empresa. Un dispositivo que hace de proxy mete tráfico de desconocidos en tu conexión: tu dirección IP puede aparecer en los registros de ataques contra terceros y, si el teléfono está en la red interna, el operador puede llegar a todo lo que ve el teléfono.

El caso demuestra también que los buenos hábitos del usuario no bastan: evitar APK sospechosos y usar solo Play Store no sirve si el teléfono llega ya comprometido. Para las entidades sujetas a NIS2, el artículo 21 exige la seguridad de la cadena de suministro y en la adquisición de sistemas: los dispositivos móviles entran en ese perímetro.

Qué hacer ya

1. Haz el inventario de los teléfonos Android de la empresa y de los que admites en la red, con marca, modelo y versión del firmware; revisa primero los modelos baratos con chips MediaTek y los citados en las fuentes.
2. Busca los paquetes conocidos con ADB o con tu sistema de gestión de dispositivos: com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot, com.android.sys.bcprot, com.android.non.szcz, com.mobile.applock.en.
3. En los teléfonos afectados, Bitdefender indica dos caminos: un firmware limpio o desactivar el componente mediante ADB (por ejemplo pm disable-user --user 0 <paquete>). El restablecimiento de fábrica no toca la partición del sistema. Si el fabricante no ofrece un firmware limpio, plantéate retirar el dispositivo.
4. Mantén separados los dispositivos no gestionados: red de invitados o VLAN dedicada, sin acceso a los servidores ni a las redes internas.
5. Controla el tráfico saliente de los segmentos de los teléfonos y compáralo con los indicadores de compromiso de Bitdefender; un teléfono con conexiones persistentes hacia hosts desconocidos o volúmenes inusuales debe revisarse.
6. Señales en el dispositivo: apps que se reinstalan tras eliminarlas, Play Store desactivado, apps “de Google Play” que nadie ha descargado.
7. En las compras, elige dispositivos certificados para Play Protect y con actualizaciones de seguridad garantizadas.

Cómo ayuda ARXDOME

En los teléfonos no se instala un agente: la visibilidad llega desde la red. ARX Watch encuentra los dispositivos sin sonda a través de las solicitudes DHCP y las tablas de vecinos, y avisa cuando aparece en la red de la empresa un dispositivo nuevo o no autorizado. ARX Sentry lleva los registros de los firewalls a las páginas del SOC y al mapa del NOC, con el tráfico saliente bloqueado y los orígenes presentes en las listas de amenazas. Con ARX Horizon puedes buscar desde el portal los indicadores de compromiso publicados.

Última actualización: 9 de octubre de 2026