Los teléfonos Android de bajo costo vienen con malware preinstalado que los convierte en proxies residenciales
Bitdefender alerta sobre Midnight Mimosa, un malware preinstalado en ciertos teléfonos Android económicos que permite el fraude publicitario y el uso de dispositivos como proxies residenciales.
Algunos teléfonos Android de bajo costo están llegando al mercado con malware instalado directamente en su firmware, lo que permite a los atacantes controlar determinadas funciones del dispositivo sin que el usuario lo sepa. Esta amenaza, identificada por los investigadores de Bitdefender como Midnight Mimosa, afecta a equipos de distintas marcas que utilizan plataformas con procesadores MediaTek.
A diferencia de las amenazas que requieren descargar una aplicación maliciosa o abrir un enlace sospechoso, este software puede estar presente antes de que el propietario encienda el teléfono por primera vez.
De acuerdo con los investigadores, la campaña ha afectado a miles de dispositivos en más de 150 países, incluido México.
¿Qué es Midnight Mimosa y cómo funciona?
Uno de los componentes maliciosos identificados, denominado com.android.system.lite, opera con privilegios de sistema. Esto le permite realizar acciones que normalmente requieren autorización del usuario, como instalar o eliminar aplicaciones, conceder permisos y ejecutar código descargado desde servidores remotos.
El malware puede descargar componentes adicionales que se hacen pasar por herramientas legítimas, como aplicaciones del clima, administradores de archivos, bloqueadores de aplicaciones y utilidades de productividad.
Estas aplicaciones pueden realizar actividades fraudulentas en segundo plano, sin que el propietario advierta necesariamente lo que ocurre en su dispositivo.
De generar clics falsos a convertir teléfonos en proxies residenciales
Los investigadores identificaron varias actividades asociadas con esta campaña:
- Fraude publicitario: algunas aplicaciones generan impresiones y clics fraudulentos en anuncios para producir ingresos ilícitos.
- Instalación silenciosa de aplicaciones: el malware puede incorporar o eliminar aplicaciones sin seguir el proceso habitual de instalación.
- Recopilación de información: puede obtener datos sobre el dispositivo y las aplicaciones instaladas.
- Uso como proxy residencial: ciertos componentes permiten utilizar la conexión a Internet del teléfono para retransmitir tráfico de terceros.
Un proxy residencial funciona como un intermediario que dirige el tráfico de Internet a través de la conexión y la dirección IP de un dispositivo doméstico. Cuando esta capacidad se utiliza sin el consentimiento del propietario, los atacantes pueden ocultar el origen real de determinadas actividades en línea.
De esta manera, un teléfono comprometido puede convertirse en un nodo de una red de dispositivos controlados remotamente, también conocida como botnet.
¿Qué dispositivos están involucrados?
La investigación señala equipos económicos de diferentes marcas que utilizan plataformas MediaTek. Entre los modelos identificados durante el análisis se encuentran el Doogee S200 X y el Cubot KINGKONG X.
También se observaron dispositivos con nombres que imitan a modelos de fabricantes reconocidos. Sin embargo, esto no significa que todos los teléfonos de esas marcas estén afectados ni que los dispositivos originales de Samsung o Apple estén comprometidos.
El origen exacto de la infección todavía no está completamente esclarecido. Los investigadores consideran que el malware pudo introducirse durante alguna etapa de la cadena de suministro, como la preparación del firmware o la distribución del dispositivo.
Además, Bitdefender identificó 13 aplicaciones distribuidas mediante Google Play que contenían código relacionado con el fraude publicitario y se comunicaban con infraestructura asociada a la campaña. Estas aplicaciones no necesariamente contaban con los mismos privilegios que el malware integrado en el firmware.
¿Por qué es difícil eliminar esta amenaza?
El principal problema es que el malware no se comporta como una aplicación convencional. Al estar integrado en el firmware y disponer de privilegios elevados, puede resistir los intentos habituales de desinstalación.
Por ello, eliminar una aplicación desde los ajustes de Android o restablecer el teléfono a sus valores de fábrica podría no ser suficiente.
La corrección puede requerir una versión de firmware limpia, una actualización oficial que solucione el problema o procedimientos técnicos especializados. No se recomienda instalar firmware de procedencia desconocida, ya que esto puede agravar el riesgo de seguridad o dejar el dispositivo inutilizable.
¿Cómo reducir el riesgo al comprar un teléfono Android?
Aunque no todos los dispositivos económicos están comprometidos, conviene tomar precauciones antes y después de adquirir uno:
- Comprar en distribuidores confiables: verificar la procedencia del equipo y evitar productos de origen dudoso o que imiten modelos de marcas reconocidas.
- Investigar el modelo específico: consultar avisos de seguridad, reportes de fabricantes e investigaciones de empresas especializadas.
- Instalar actualizaciones oficiales: mantener el sistema operativo y el firmware actualizados cuando existan versiones verificadas.
- Revisar las aplicaciones instaladas: prestar atención a aplicaciones desconocidas, permisos excesivos, anuncios inesperados o actividad inusual.
- Utilizar herramientas de seguridad: una solución de seguridad móvil puede ayudar a identificar determinadas amenazas, aunque no garantiza detectar malware integrado en el firmware.
- Evitar modificaciones no verificadas: no instalar ROM, firmware ni herramientas de supuesta limpieza procedentes de fuentes desconocidas.
Si se sospecha que un dispositivo está comprometido, lo más recomendable es consultar al fabricante o a un especialista en seguridad antes de utilizarlo para acceder a cuentas bancarias, información empresarial o servicios sensibles.
Una advertencia para usuarios y empresas
El caso de Midnight Mimosa demuestra que los riesgos de ciberseguridad no comienzan necesariamente cuando un usuario abre un archivo o descarga una aplicación. En determinados casos, el dispositivo puede estar comprometido desde su fabricación o distribución.
Para las empresas, esto refuerza la importancia de establecer políticas de adquisición y administración de dispositivos, verificar su procedencia y evitar que equipos no confiables accedan a redes corporativas o información sensible.
La seguridad de un dispositivo comienza antes de utilizarlo. Elegir proveedores confiables, mantener el firmware verificado y aplicar medidas de protección ayuda a reducir el riesgo de que un teléfono se convierta, sin conocimiento de su propietario, en parte de una infraestructura utilizada para actividades maliciosas.
Investigación relacionada: Bitdefender Labs — The phone was compromised before the phone was turned on: the rise of Midnight Mimosa