Descubren malware preinstalado en teléfonos Android
Cybersecurity News (ES) · 11 oct, 23:00
Bitdefender ha descubierto Midnight Mimosa, una campaña de malware preinstalado en el firmware de teléfonos Android de bajo coste que afecta a miles de dispositivos en más de 150 países, incluyendo España. El malware se ejecuta con privilegios de sistema antes del primer encendido, generando ingresos mediante publicidad fraudulenta y pudiendo instalar código malicioso, recopilar datos y crear botnets. Aunque algunos dispositivos tienen certificados vinculados a un fabricante con sede en Shenzhen, Bitdefender aún no ha identificado el punto exacto de la cadena de suministro donde se inyectó el malware.
La investigación de Bitdefender revela que Midnight Mimosa lleva activa aproximadamente dos años, siendo México, Francia e Italia los países más afectados, seguidos de Estados Unidos, Alemania, Brasil y España. El malware opera con capacidades completas de gestor remoto: puede instalar y desinstalar aplicaciones, conceder permisos, cargar código nuevo y recopilar información del dispositivo. Además, desactiva deliberadamente Google Play Store durante las instalaciones para eludir la detección de Play Protect.
Bitdefender identificó 13 aplicaciones legítimas en Google Play que contienen el mismo código de fraude publicitario de Midnight Mimosa y se conectan a los mismos servidores de control. Algunas de estas aplicaciones son instaladas silenciosamente por el malware preinstalado, proporcionando un vector de infección alternativo. El hallazgo subraya un riesgo significativo en la cadena de suministro móvil: aunque se ha vinculado a fabricantes de Shenzhen, la investigación no ha podido determinar con precisión en qué etapa ni por qué actor se comprometió el firmware.
Puntos clave
- Malware integrado en firmware de teléfonos Android de bajo coste, ejecutándose antes del primer encendido
- Activo durante aproximadamente dos años en más de 150 países, con presencia notable en España
- Operadores pueden instalar aplicaciones, modificar permisos, recopilar datos y crear botnets de forma remota
- 13 aplicaciones detectadas en Google Play comparten código y servidores de control con Midnight Mimosa
- Desactiva Google Play Store para evadir Play Protect; punto de inyección en cadena de suministro aún sin determinar