Un móvil Android puede llegar infectado antes de que lo enciendas por primera vez. Eso es lo que describe Bitdefender en su investigación sobre Midnight Mimosa, una campaña de malware preinstalado en el firmware de dispositivos de bajo coste construidos sobre plataformas MediaTek. Los investigadores han observado miles de equipos afectados en más de 150 países, entre ellos España, durante un periodo aproximado de dos años. El componente se disfraza de aplicación del sistema, obtiene privilegios elevados y no se elimina con un desinstalador convencional.
Qué es Midnight Mimosa y cómo llega al dispositivo
Midnight Mimosa no es una aplicación que el usuario descarga por error. Según el informe publicado por Bitdefender Labs el 8 de octubre de 2026, el núcleo de la campaña es una aplicación del sistema firmada para la plataforma que viene integrada en el firmware. El paquete más analizado se llama com.android.system.lite y aparece con la etiqueta «System». Al ejecutarse con sharedUserId=android.uid.system y permisos como INSTALL_PACKAGES y GRANT_RUNTIME_PERMISSIONS, puede instalar y borrar aplicaciones, conceder permisos y cargar código remoto sin interacción del propietario.
Bitdefender identifica variantes con nombres similares (com.android.sys.prot, com.android.sys.gmsprot, com.android.sys.bcprot). El núcleo malicioso reside en una librería nativa que descifra y despliega un framework adicional en tiempo de ejecución. Desde ahí contacta con servidores de mando y control —uno de ellos se presenta como una API meteorológica— y descarga plugins que ejecutan el fraude publicitario o convierten el dispositivo en nodo de proxy residencial.
La investigación comenzó con la tecnología App Anomaly Detection de Bitdefender Mobile Security, que detectó un componente que se comportaba de forma anómala pese a estar firmado como parte del sistema. El malware no se limita a un único fabricante. Aparece en dispositivos de marca blanca, en modelos asociados a Doogee (S200 X) y Cubot (KINGKONG X), y en falsificaciones que reportan nombres de gama alta como «S24 Ultra», «S25 Ultra» o «i17 Pro Max». Los terminales genuinos de Samsung o Apple no están afectados; el problema se concentra en hardware económico y clones.
Qué hace una vez encendido el teléfono
El objetivo principal es generar ingresos. El componente del sistema instala de forma silenciosa una familia rotatoria de al menos 32 aplicaciones disfrazadas de utilidades legítimas: bloqueadores de apps, herramientas de tiempo, gestores de archivos, editores de iconos o OCR. Estas cargas utilizan SDKs publicitarios reales para registrar impresiones y clics que el usuario nunca ve. Antes de instalarlas, el malware desactiva temporalmente el paquete de Google Play Store (com.android.vending) para reducir la probabilidad de que Play Protect lo detecte, y lo vuelve a activar después.
Además del fraude publicitario, algunos payloads pueden enrolar el dispositivo en una red de proxies residenciales. Eso permite que el tráfico de terceros aparezca como originado desde la IP del propietario, una capacidad útil para botnets o ataques distribuidos. Bitdefender señala que los operadores pueden cargar código adicional de forma remota, por lo que las capacidades observadas no agotan lo que el componente podría hacer en el futuro. También solicita permisos de Accesibilidad, acceso a notificaciones y SMS, aunque en las muestras analizadas no se observó su uso activo.
El mismo código de fraude publicitario se encontró en 13 aplicaciones publicadas en Google Play, firmadas con certificados distintos y vinculadas a al menos dos cuentas de desarrollador. Estas apps no tienen los privilegios del componente del sistema, pero se comunican con la misma infraestructura y amplían el alcance de la operación más allá del firmware preinstalado.
Alcance geográfico y presencia en España
Bitdefender registró miles de dispositivos únicos en más de 150 países durante aproximadamente dos años. Los países con más detecciones son México, Francia e Italia, seguidos de Estados Unidos, Alemania, Brasil y España. No hay una concentración regional dominante, pero Europa occidental y América aparecen con fuerza. La distribución encaja con la venta de terminales de bajo precio a través de marketplaces internacionales y canales no oficiales.
En España la presencia está confirmada por la telemetría de Bitdefender, aunque el número exacto de equipos no se ha publicado. El riesgo práctico para el comprador español se concentra en ofertas demasiado buenas para ser ciertas: un «flagship» actual a precio ridículo, un vendedor desconocido o un dispositivo que no muestra de forma clara el fabricante real. Los chips MediaTek aparecen en muchos de los casos observados, pero no todos los móviles con MediaTek están infectados, ni todos los ejemplares de un mismo modelo.
La atribución del punto exacto de la cadena de suministro sigue abierta. Algunos firmwares afectados estaban firmados con certificados asociados a Shenzhen Zediel, pero Bitdefender aclara que no puede confirmar si la empresa estaba involucrada o si los certificados se usaron sin su conocimiento. El malware puede introducirse en distintas etapas: un ODM, un integrador de firmware o un actor posterior en la distribución.
Por qué no se puede desinstalar y qué opciones tiene el usuario
Al estar firmado como aplicación del sistema y residir en el firmware, Midnight Mimosa no aparece como una app normal que se pueda borrar desde Ajustes. Las defensas habituales de Android (revisión de Play Store, Play Protect en el momento de la instalación por el usuario) ya han sido sorteadas antes del primer encendido. Bitdefender indica que limpiar el dispositivo requiere una intervención a nivel de firmware o deshabilitar el componente mediante ADB, opciones poco realistas para la mayoría de propietarios.
La recomendación práctica es preventiva: comprar en canales oficiales o a vendedores de confianza, desconfiar de precios anormalmente bajos en modelos de gama alta y verificar la certificación de Google del dispositivo. Si ya se posee un terminal sospechoso, las señales incluyen la presencia de paquetes como com.android.system.lite u otros nombres de sistema inusuales, o un comportamiento de instalación y desinstalación silenciosa de apps. En ese caso, la opción más segura suele ser devolver el dispositivo o dejar de usarlo para datos sensibles.
Bitdefender no publica una lista completa de modelos afectados. Los nombres que aparecen en la telemetría (S200 X, KINGKONG X, clones de Galaxy o iPhone) sirven como indicios, no como inventario exhaustivo. Un teléfono que muestre un nombre conocido no garantiza que sea auténtico.
Contexto y qué cabe esperar a continuación
El método de integrar malware en el firmware de dispositivos baratos no es nuevo. Investigaciones anteriores, como las relacionadas con la familia Android.Phantom documentada por Dr.Web, describían esquemas similares de monetización mediante apps preinstaladas. Midnight Mimosa añade la capacidad de proxy residencial y una infraestructura que también llega a Google Play. La campaña ilustra cómo el bajo coste del hardware puede compensarse con software que genera ingresos después de la venta.
Para el usuario en España, el impacto inmediato es el riesgo de fraude publicitario, consumo de datos y batería, y la posibilidad de que el dispositivo forme parte de una botnet sin su conocimiento. No hay indicios públicos de que se haya utilizado para robo masivo de datos personales en las muestras analizadas, pero la presencia de permisos de Accesibilidad y SMS deja la puerta abierta a capacidades más agresivas si los operadores deciden activarlas.
Google no ha publicado un comunicado específico sobre las 13 apps de Play Store en el momento de la investigación de Bitdefender. Los dispositivos afectados siguen dependiendo de que el fabricante o el canal de distribución retiren o actualicen el firmware. Mientras tanto, la mejor protección sigue siendo evitar los terminales de procedencia dudosa y mantener actualizado el sistema en dispositivos de marcas conocidas.
La investigación completa de Bitdefender, con indicadores de compromiso y detalles técnicos, está disponible en su blog de Labs. Para el comprador español, el mensaje práctico es claro: un móvil Android excesivamente barato puede salir caro si llega con software que ya trabaja en contra del propietario antes del primer uso.
Fuentes: Informe de Bitdefender Labs (8 de octubre de 2026), bitdefender.com; cobertura de SecurityWeek, The Record y medios españoles especializados.
Deja una respuesta