Bitdefender informó el 8 de octubre de 2026 de que había identificado Midnight Mimosa, una campaña de malware preinstalado en el firmware de ciertos móviles Android económicos y multimarca con plataformas MediaTek. El componente puede actuar con privilegios de sistema antes del primer encendido, según el análisis técnico de Bitdefender.
Un componente con privilegios de sistema
El firmware es el software integrado que gestiona funciones básicas del dispositivo. En los móviles afectados que analizó Bitdefender, Midnight Mimosa incluía un componente persistente en el sistema: podía instalar y quitar aplicaciones en silencio, concederles permisos y cargar código recibido a distancia.
Bitdefender identificó el paquete com.android.system.lite y otras variantes con nombres como com.android.sys.prot, com.android.sys.gmsprot y com.android.sys.bcprot. Los nombres pueden cambiar, así que uno de ellos, por sí solo, no identifica de forma fiable la campaña.
El componente podía desplegar una familia rotatoria de al menos 32 aplicaciones camufladas como herramientas del tiempo, bloqueadores de aplicaciones, notas, lectores OCR, gestores de archivos y editores de audio. Bitdefender también observó que desactivaba Google Play Store justo antes de instalar una carga y lo reactivaba después; la empresa considera probable que la maniobra buscase esquivar Google Play Protect.
Las aplicaciones de Google Play no tenían los mismos privilegios
Bitdefender encontró otras 13 aplicaciones de Google Play con código relacionado con el fraude publicitario y comunicaciones con los mismos servidores. Estas aplicaciones no tenían los privilegios de sistema del componente instalado en el firmware.
En las muestras analizadas, Bitdefender observó impresiones y clics publicitarios fraudulentos, además de una función de proxy residencial. La compañía describió la generación de ingresos como el motivo principal probable de la campaña.
El componente solicitaba permisos de Accesibilidad, acceso a notificaciones y SMS. Bitdefender dijo que no observó que se utilizaran durante su análisis; que una muestra los solicitase no significa que la compañía registrara su uso en los dispositivos examinados.
Qué representa el 6,72 % de España
Bitdefender registró miles de dispositivos en más de 150 países durante aproximadamente dos años. En la distribución de su conjunto de datos, España representaba el 6,72 % de los dispositivos observados. La cifra describe la composición de la muestra de Midnight Mimosa: esa proporción de los dispositivos registrados correspondía a España.
En el conjunto analizado, las asociaciones auténticas de marca y modelo con mayor volumen fueron Doogee S200 X y Cubot KINGKONG X.
Por qué restablecer el móvil no es una solución fiable
El componente principal reside en la partición del sistema, una zona del almacenamiento separada de las aplicaciones que instala el usuario. Por eso, desinstalar una aplicación corriente o restablecer el teléfono de fábrica no garantiza eliminarlo.
Bitdefender describió dos vías de corrección: limpiar el firmware o desactivar el componente mediante ADB, siglas de Android Debug Bridge, una herramienta de depuración para dispositivos Android. La compañía considera que ambas opciones resultan poco realistas para la mayoría de los propietarios de los móviles afectados.
