Midnight Mimosa, un malware que puede venir presintalado de fábrica en tu Android nuevo – NOV

Hay teléfonos que llegan al mundo ya infectados. No han sido encendidos una sola vez, no han instalado una aplicación, no han visitado una web. Y, sin embargo, cuando el usuario los enciende por primera vez, el malware ya está dentro. Se llama Midnight Mimosa y es una campaña de ciberdelincuencia descubierta por Bitdefender que utiliza software malicioso preinstalado en el firmware de teléfonos Android de bajo coste. La infección no se produce después de la compra: viene de fábrica. Y eso es lo peligroso, ya que nunca nadie va a pensar que estrenar un móvil esté libre de todo peligro.

Pero esto es real. El hallazgo, publicado por la compañía de ciberseguridad, describe una operación que se ejecuta con privilegios a nivel de sistema y que no puede eliminarse por medios convencionales. El usuario no puede desinstalarla, no puede borrarla con una aplicación antivirus y, en la mayoría de los casos, ni siquiera sabe que está ahí. El malware forma parte del propio sistema operativo del dispositivo, integrado en el firmware que el fabricante instala antes de que el teléfono salga de la cadena de producción.

Un negocio de anuncios falsos

La campaña está diseñada principalmente para generar ingresos mediante aplicaciones falsas que cargan anuncios ocultos y generan clics fraudulentos. Es el corazón económico de Midnight Mimosa: el fraude publicitario. Pero el nivel de acceso que proporciona el malware preinstalado abre puertas mucho más peligrosas. Los operadores pueden recopilar información del dispositivo, cargar nuevo código malicioso cuando quieran e incorporar los teléfonos a botnets que después se alquilan para llevar a cabo ataques DDoS.

Los principales hallazgos de la investigación dibujan un mapa inquietante. La campaña se ha observado en miles de dispositivos de más de 150 países durante aproximadamente dos años. México, Francia e Italia encabezan la lista, seguidos de Estados Unidos, Alemania, Brasil y España. Los operadores pueden instalar y eliminar aplicaciones, conceder permisos y cargar nuevo código de forma remota, además de recopilar información del dispositivo y de las aplicaciones instaladas.

Uno de los detalles más reveladores es que el malware desactiva Google Play Store durante las instalaciones, probablemente para evitar la detección por parte de Play Protect, el sistema de seguridad de la tienda oficial de Android. Es una medida de sigilo que sugiere un conocimiento profundo del ecosistema y una capacidad de adaptación nada improvisada.

Dos vías de infección de Midnight Mimosa

Bitdefender ha identificado además 13 aplicaciones en Google Play que utilizan el mismo código de fraude publicitario que Midnight Mimosa y se conectan a los mismos servidores que controlan el malware preinstalado. Algunas de estas aplicaciones también son instaladas de forma silenciosa por el malware en los dispositivos infectados, lo que permite que la campaña llegue a los usuarios por dos vías diferentes: la que viene de fábrica y la que se descarga desde la tienda oficial sin saber que esconde el mismo código.

La investigación también ha detectado que algunos de los teléfonos afectados cuentan con firmware firmado mediante certificados vinculados a un fabricante de dispositivos con sede en Shenzhen. Sin embargo, Bitdefender todavía no ha podido determinar en qué punto de la cadena de suministro se incorporó el malware ni atribuir la campaña a un fabricante o vendedor concreto. Esa incertidumbre es, quizá, el dato más preocupante: alguien está infectando teléfonos antes de que lleguen a las manos de los usuarios, pero no se sabe exactamente quién, ni dónde, ni en qué eslabón de una cadena global y opaca.

La cadena de suministro, el eslabón más débil

El caso de Midnight Mimosa ilustra un problema de fondo que trasciende esta campaña concreta: la seguridad de la cadena de suministro. Durante años, el foco de las amenazas móviles estuvo en las aplicaciones que el usuario descargaba, en los enlaces maliciosos o en las redes wifi públicas. Midnight Mimosa desplaza ese foco a un lugar mucho más incómodo: el propio dispositivo, tal y como sale de la fábrica.

Para el usuario, las consecuencias son difíciles de gestionar. No hay una aplicación que desinstalar, no hay un permiso que revocar, no hay una configuración que cambiar. El malware está por debajo de la capa donde el usuario tiene control. En muchos casos, la única solución real pasa por dejar de usar el dispositivo o por instalar una versión limpia del sistema operativo, algo que queda fuera del alcance de la mayoría de los compradores de teléfonos de bajo coste, precisamente el segmento al que se dirige esta campaña.

La elección de ese segmento no es casual. Los teléfonos de bajo coste, a menudo de marcas poco conocidas y con sistemas operativos modificados por el fabricante, tienen menos controles de seguridad, ciclos de actualización más cortos y una supervisión menos estricta que los dispositivos de gama alta. Son, en términos de ciberseguridad, un territorio más fácil de conquistar.

Qué puede hacer el usuario

Bitdefender recomienda a los usuarios de dispositivos Android, especialmente a quienes utilizan modelos de bajo coste o de marcas poco conocidas, extremar las precauciones. Entre las medidas sugeridas están mantener el sistema actualizado en la medida de lo posible, descargar aplicaciones únicamente de fuentes oficiales, revisar los permisos concedidos y estar atentos a comportamientos anómalos como la aparición de aplicaciones desconocidas, un consumo excesivo de batería o datos, o la desactivación inesperada de Google Play Store.

La compañía también insiste en la importancia de elegir dispositivos de fabricantes con un historial contrastado de seguridad y actualizaciones. En un mercado donde el precio sigue siendo el principal criterio de compra para millones de personas, esa recomendación no siempre es fácil de seguir.

Midnight Mimosa no es la primera campaña que aprovecha la cadena de suministro para infectar dispositivos antes de que lleguen al usuario, y probablemente no será la última. Pero sí es un recordatorio incómodo de que, en el mundo conectado, la seguridad empieza mucho antes de que el comprador abra la caja. Empieza en la fábrica, en el firmware, en los certificados que firman el software. Y, como demuestra esta investigación, ahí también hay quienes están esperando.