Sim: um celular Android pode chegar com malware antes da primeira inicialização. Em uma análise datada de 8 de outubro de 2026, a Bitdefender descreveu a campanha Midnight Mimosa no firmware — o software básico do aparelho — de certos dispositivos de baixo custo, multimarcas e baseados em plataformas MediaTek. A análise técnica da Bitdefender trata desse grupo específico de aparelhos.
Como o componente de sistema funciona
A Bitdefender descreve um aplicativo persistente com privilégios de sistema, instalado junto ao firmware. Ele pode instalar e remover aplicativos sem aviso, conceder permissões e carregar código enviado remotamente. Entre os nomes de pacote identificados estão com.android.system.lite e variantes como com.android.sys.prot e com.android.sys.gmsprot; esses nomes podem mudar e, por si só, não identificam a campanha com segurança.
A análise também relata pelo menos 32 aplicativos disfarçados, com funções aparentes como previsão do tempo, bloqueio de apps, notas, OCR, gerenciamento de arquivos e edição de áudio. A Bitdefender observou fraude com anúncios e cliques e uma função separada de proxy residencial, que retransmite tráfego por conexões residenciais. A empresa considera provável que a campanha busque gerar receita.
O componente pode desativar a Google Play Store antes de instalar uma carga maliciosa e reativá-la depois. A Bitdefender avalia que a manobra provavelmente tenta evitar a detecção pelo Google Play Protect.
Aplicativos do Google Play têm outro nível de acesso
A Bitdefender identificou 13 aplicativos no Google Play com código relacionado a fraude publicitária e comunicação com os mesmos servidores. Eles não tinham os privilégios de sistema do componente instalado no firmware. Essa diferença importa: a presença de código relacionado em um aplicativo da loja não equivale ao controle do sistema que a análise atribui ao componente pré-instalado.
O componente também solicitou acesso à Acessibilidade, às notificações e a SMS. A Bitdefender não observou o uso dessas permissões durante sua análise.
O que o número do Brasil representa
No conjunto de dispositivos da campanha observado pela Bitdefender ao longo de cerca de dois anos, o Brasil correspondeu a 7,02% dos aparelhos identificados. A empresa relatou milhares de dispositivos em mais de 150 países. Entre as associações autênticas de marca e modelo mais frequentes no conjunto estão Doogee S200 X e Cubot KINGKONG X.
Por que restaurar o celular não é uma solução confiável
A Bitdefender situa o componente principal na partição do sistema, uma área do armazenamento que contém partes essenciais do Android. Por isso, remover aplicativos ou restaurar o aparelho às configurações de fábrica não é uma forma confiável de eliminar esse componente.
A análise descreve duas alternativas: corrigir o firmware ou desativar o componente por ADB, ferramenta de depuração do Android usada para comunicar-se com o aparelho por um computador. A Bitdefender considera essas medidas pouco realistas para a maioria dos proprietários dos dispositivos afetados.
