Bitdefender descubrió un malware instalado en el firmware de teléfonos Android de bajo costo con chips MediaTek, que instala apps en silencio, genera fraude publicitario y puede usar el equipo como proxy. No se puede quitar con el desinstalador normal. (Fuente: BleepingComputer / Bitdefender)
Una campaña bautizada Midnight Mimosa apareció en celulares Android de bajo costo que vienen con software malicioso integrado en el firmware. Según Bitdefender, el malware permite instalar aplicaciones en silencio, hacer fraude publicitario y convertir los dispositivos en proxies residenciales. Se cree que se introdujo en algún punto de la cadena de suministro, pero no está claro quién modificó el firmware ni en qué etapa.
Los investigadores calculan que la campaña afectó a miles de dispositivos en más de 150 países durante unos dos años, con más víctimas en México, Francia, Italia, Estados Unidos, Alemania, Brasil y España. Encontraron malware preinstalado en equipos con nombres de modelo asociados a fabricantes legítimos, como el Doogee S200 X y el Cubot KINGKONG X, además de teléfonos que imitan productos de Samsung y Apple.
Cómo funciona
A diferencia del malware habitual, que exige que el usuario instale una app, Midnight Mimosa ya está en la partición de sistema cuando el cliente recibe el teléfono. Los programas se hacen pasar por paquetes legítimos de Android, con nombres como com.android.system.lite, com.android.sys.prot y com.android.sys.gmsprot, y como están firmados y corren con privilegios elevados no se pueden quitar con el desinstalador normal. Bitdefender dio con la campaña cuando su tecnología de detección de anomalías marcó una app de sistema llamada com.android.system.lite que instalaba y borraba otras aplicaciones sin aviso. Esa app resultó ser parte de un marco más grande que baja módulos desde servidores de comando y control.
Los investigadores identificaron unas 32 aplicaciones distribuidas por ese marco, disfrazadas de utilidades del clima, administradores de archivos, bloqueadores de apps, herramientas de OCR y editores de audio. Según Bitdefender, la app de sistema no registra por sí misma las impresiones y clics fraudulentos: lo hacen esas apps señuelo, que cargan anuncios reales mediante un SDK legítimo y abren una ventana invisible encima de otras apps para que se contabilicen como mostrados.
El malware también intenta esquivar las defensas de Android: antes de instalar apps maliciosas desactiva temporalmente Google Play Store para evitar que Google Play Protect detecte la instalación, y después la vuelve a activar para no levantar sospechas. Algunas variantes además alteran el registro del instalador para que parezca que las apps vienen de Google Play.
Proxy residencial
Bitdefender halló una app disfrazada de bloqueador de apps (com.mobile.applock.en) con un componente de proxy TCP que registra el teléfono en un servidor remoto. Una vez registrado, el equipo puede recibir órdenes de conectarse a ciertos hosts y reenviar tráfico, lo que permitiría a los atacantes enrutar tráfico malicioso por la conexión de los dueños de los teléfonos y ocultar su origen. La infraestructura estaba operativa y aceptaba registros, pero el dispositivo de prueba de los investigadores no recibió destinos para reenviar, así que no pudieron confirmar si los atacantes la estaban usando de forma activa.
También encontraron 13 apps en Google Play con el mismo código de fraude publicitario, que se comunicaban con infraestructura conocida de Midnight Mimosa. Se distribuyeron con 13 certificados de firma distintos y al menos dos cuentas de desarrollador, fivedev y CPS Developer. Sin privilegios elevados, estas apps no pueden instalar otro software en silencio, pero sí mostrar anuncios fuera de su interfaz.
Qué se sabe y qué no
En foros de XDA, dueños de equipos Cubot y Doogee reportaron apps sospechosas que se reinstalaban solas después de borrarlas, y un usuario de un Doogee Fire 3 Max contó que una actualización oficial de firmware infectó el equipo: el malware desapareció al volver a una versión anterior y reapareció al reinstalar la actualización. Algunos usuarios dijeron que los fabricantes lanzaron actualizaciones que resolvieron las infecciones, pero las empresas no explicaron públicamente cómo se introdujo el software malicioso. Los investigadores también hallaron firmware firmado con certificados asociados al fabricante chino Shenzhen Zediel, aunque aclaran que no está claro si la empresa participó en la campaña.
Para los usuarios afectados, quitarlo es difícil: según Bitdefender, requiere una limpieza a nivel de firmware o desactivar el componente malicioso con Android Debug Bridge (ADB), algo complicado para mucha gente.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.
Descubre más desde
Suscríbete y recibe las últimas entradas en tu correo electrónico.