Midnight Mimosa: el malware que infecta tu móvil antes que tú

Imagina desenvolver un smartphone nuevo, emocionado por configurarlo, solo para descubrir que ya está comprometido. Esto no es una fantasía distópica; es la inquietante realidad revelada por el descubrimiento del malware Midnight Mimosa.

Investigadores de seguridad de Bitdefender han descubierto una campaña de malware generalizada, apodada Midnight Mimosa, que viene preinstalada en el firmware de miles de smartphones Android económicos, predominantemente aquellos que utilizan chips MediaTek. Activa durante aproximadamente dos años, esta insidiosa amenaza se ha extendido por más de 150 países, con concentraciones significativas observadas en México, Francia e Italia, seguidas por Estados Unidos, Alemania, Brasil y España, según varios informes. A diferencia del malware típico, Midnight Mimosa no requiere una descarga dudosa o un toque equivocado; está integrado en el sistema operativo del dispositivo antes de que llegue a las manos del consumidor, operando con privilegios de nivel de sistema que lo hacen prácticamente imposible de eliminar por medios convencionales.

El coste oculto de lo "barato"

El atractivo de un smartphone económico es innegable, ofreciendo conectividad y funcionalidad sin un precio de gama alta. Sin embargo, como revela la campaña Midnight Mimosa, esta asequibilidad puede tener un profundo coste oculto. Este malware reside en la partición del sistema, aprovechando las claves de la plataforma para aparecer como un componente central legítimo, lo que significa que no se puede desinstalar como una aplicación normal. Ni siquiera un restablecimiento de fábrica puede proporcionar una solución completa, ya que el firmware comprometido a menudo permanece intacto, lo que lleva a la reinstalación de componentes maliciosos. Una verdadera remediación generalmente requiere soluciones más técnicas, como una limpieza a nivel de firmware o la desactivación del componente a través de Android Debug Bridge (ADB), procedimientos en gran parte inaccesibles para el usuario promedio.

Los dispositivos identificados en la telemetría de Bitdefender incluyen modelos específicos como el Doogee S200 X y el Cubot KINGKONG X, junto con modelos genéricos falsificados que imitan dispositivos de gama alta con nombres como S24 Ultra, S25 Ultra, S26 Ultra, Note 18 Ultra, i17 Pro Max o iPadAirPro. Es importante destacar que los dispositivos genuinos de Samsung y Apple no están implicados en esta campaña; se trata de imitaciones. Esta situación pone de manifiesto una vulnerabilidad crítica en la cadena de suministro, donde la integridad del software de un dispositivo se ve comprometida mucho antes de que llegue al usuario final, a menudo sin la participación directa o el conocimiento del fabricante de equipo original.

Qué hace realmente Midnight Mimosa

El objetivo principal de Midnight Mimosa parece ser el lucro financiero a través de diversas actividades ilícitas. El malware opera instalando y eliminando silenciosamente un conjunto rotatorio de aplicaciones de camuflaje —que se hacen pasar por herramientas inofensivas como apps del tiempo, bloqueadores de aplicaciones o utilidades para tomar notas— que luego cargan anuncios legítimos a través de SDKs incrustados. Estos anuncios a menudo se muestran en ventanas invisibles o superposiciones a pantalla completa, generando impresiones y clics fraudulentos, desviando así ingresos de las redes publicitarias. El malware incluso desactiva temporalmente Google Play Store para eludir Play Protect durante estas instalaciones silenciosas, reactivándolo después para evitar la detección.

Más allá del fraude publicitario, los dispositivos comprometidos pueden convertirse en nodos de retransmisión de proxy residencial. Esto significa que el smartphone de una víctima puede pasar a formar parte de una botnet más grande, redirigiendo el tráfico de internet de otras personas a través de su conexión doméstica, lo que podría ayudar en actividades maliciosas adicionales como ataques DDoS. Aunque las pruebas de Bitdefender confirmaron que la infraestructura aceptaba registros, no se observó una retransmisión activa de tráfico, lo que indica que el potencial sigue existiendo, incluso si no se explotó completamente durante su investigación. Además, el malware puede concederse permisos sensibles, incluido el acceso a servicios de accesibilidad, notificaciones y SMS, aunque hasta ahora no se ha observado ninguna evidencia documentada de su uso para el robo de datos en esta campaña.

Una amenaza más amplia más allá del firmware preinstalado

La campaña Midnight Mimosa también extiende su alcance más allá del firmware preinstalado. Los investigadores descubrieron 13 aplicaciones actualmente disponibles en Google Play que se comunican con la misma infraestructura de comando y control utilizada por el malware a nivel de firmware. Aunque estas apps de Play Store carecen de los privilegios de sistema elevados de sus contrapartes de firmware, lo que significa que no pueden instalar silenciosamente otras aplicaciones, sí se dedican al fraude publicitario, mostrando anuncios fuera de su propia interfaz, incluso cuando el móvil no está en uso activo. Este hallazgo sugiere un esfuerzo más extenso y coordinado, demostrando múltiples vectores de infección y planteando un riesgo más amplio para los usuarios desprevenidos.

Este incidente subraya una dura realidad para los consumidores: el consejo tradicional de evitar descargas sospechosas y limitarse a las tiendas de aplicaciones oficiales ya no es suficiente cuando el malware está incrustado a nivel fundamental de un dispositivo. Para aquellos que sospechan que su móvil podría estar comprometido, buscar ayuda profesional o, en casos graves donde no haya firmware limpio disponible, considerar el reemplazo del dispositivo puede ser la solución más pragmática. Midnight Mimosa sirve como un potente recordatorio de que, en la búsqueda de tecnología asequible, la vigilancia con respecto a la fuente y la integridad de nuestros dispositivos nunca ha sido más crítica.