Midnight Mimosa es un malware que Bitdefender encontró preinstalado en el firmware de algunos móviles Android económicos y multimarca con plataformas MediaTek. Desinstalar una app no elimina ese componente persistente: las opciones que describe la compañía requieren limpiar el firmware o desactivarlo mediante ADB, y ninguna resulta práctica para la mayoría de los propietarios afectados.
Un componente instalado antes del primer encendido
El firmware es el software integrado en el dispositivo que permite que funcione el sistema. En los móviles afectados, el componente de Midnight Mimosa ya estaba presente antes de que su propietario encendiera el teléfono por primera vez, según Bitdefender. El hallazgo se refiere a algunos modelos de bajo coste y varias marcas con plataformas MediaTek, no a todos los móviles Android económicos.
Bitdefender observó la campaña en miles de dispositivos únicos de más de 150 países durante aproximadamente dos años. La empresa también informó de 13 aplicaciones con marcadores de la misma familia que estaban en Google Play. El malware, por tanto, no se limitaba a la presencia en el firmware descrita en algunos móviles.
Qué puede hacer Midnight Mimosa
El componente persistente puede instalar y eliminar aplicaciones sin avisar, conceder permisos y cargar código enviado de forma remota, según el análisis técnico de Bitdefender. La compañía también describió fraude publicitario y de clics oculto, además del uso de dispositivos como relés de proxy residencial.
El informe señala que el malware desactiva la aplicación Google Play Store justo antes de instalar una carga y la vuelve a activar después. Bitdefender considera que esa maniobra probablemente busca esquivar la detección de Play Protect. Son capacidades y actividades descritas por la compañía; no implican que cada dispositivo afectado haya experimentado todas ellas.
Por qué desinstalar la app no elimina el componente
Bitdefender sitúa el componente persistente en la partición del sistema. Por eso, quitar una aplicación por la vía habitual no lo elimina. La compañía menciona dos opciones: limpiar el firmware o desactivar el componente mediante ADB, la herramienta de Android que permite gestionar un dispositivo desde un ordenador. Añade que ninguna de las dos vías resulta realista para la mayoría de los propietarios afectados.
Bitdefender no identifica quién incorporó el código al firmware. Su análisis menciona certificados con el nombre de Shenzhen Zediel usados para firmar firmware de dispositivos afectados, pero ese dato no demuestra que la empresa instalara el malware ni que conociera su presencia.
