Descubren un malware preinstalado de fábrica en miles de móviles Android económicos

Comprar un teléfono inteligente nuevo suele ser sinónimo de estrenar un dispositivo limpio y seguro. Sin embargo, una investigación publicada por la empresa de ciberseguridad Bitdefender ha sacado a la luz una campaña bautizada como Midnight Mimosa, la cual infecta teléfonos Android de bajo coste antes incluso de que el usuario los saque de la caja y los encienda por primera vez.

Al estar integrado directamente en el firmware (el sistema operativo base grabado en la memoria del teléfono), el código maligno opera con los máximos privilegios del sistema, lo que impide que un usuario común pueda desinstalarlo o eliminarlo por los medios habituales.

La investigación detalla que esta campaña lleva activa aproximadamente dos años y ha afectado a miles de dispositivos en más de 150 países. La lista de naciones más perjudicadas está encabezada por México, Francia e Italia, seguidos de EE.UU, Alemania, Brasil y nuestro país, España.

En cuanto a los teléfonos salpicados, se trata principalmente de modelos económicos de marca blanca equipados con procesadores MediaTek, muchos de los cuales imitan estéticamente a grandes terminales de gama alta (con nombres engañosos como S24 Ultra o S25 Ultra) o pertenecen a marcas de bajo coste como Doogee o Cubot.

Los análisis revelan que algunos certificados digitales del firmware están a nombre de un fabricante en Shenzhen (China), aunque no se ha determinado con exactitud en qué punto de la cadena de producción o distribución se introdujo el software malicioso.

Desgranando la amenaza

El funcionamiento interno de Midnight Mimosa destaca por su alto nivel de sofisticación técnica para ocultarse y generar ingresos fraudulentos. El componente central actúa como un ‘facilitador’ o enabler (bajo nombres falsos de sistema como com.android.system.lite), el cual descarga y ejecuta módulos dinámicos desde servidores remotos.

Con estos permisos totales, el malware instala y desinstala en segundo plano aplicaciones ‘pantalla’ (como herramientas de clima, bloqueadores de apps o lectores de texto) para inflar impresiones publicitarias e invisibles y cobrar por clics falsos.

Además, cuenta con la capacidad de convertir los teléfonos infectados en nodos de red privada (proxies residenciales) para integrarlos en redes de bots (botnets) que luego pueden alquilarse a terceros para ejecutar ataques de denegación de servicio (DDoS).

Para evitar ser detectado por los análisis de seguridad del propio teléfono, el malware se sirve de una táctica de evasión directa: desactiva temporalmente la aplicación Google Play Store (donde reside la protección de Google Play Protect) justo antes de instalar sus herramientas maliciosas, y la vuelve a activar una vez completada la instalación o cuando el usuario enciende la pantalla.

Como vía complementaria, los investigadores de Bitdefender han localizado 13 aplicaciones presentes directamente en la tienda oficial Google Play (entre ellas utilidades de edición de audio o reproductores) que comparten el mismo código de fraude publicitario y se conectan a la misma infraestructura de servidores, logrando así infectar a los usuarios por dos rutas completamente distintas.

• Acerca de
• Artículos recientes

Alberto Payo

Periodista especializado en tecnología y cultura. Co-fundador y responsable editorial de Applicantes. Colaborador de Forbes, SINC, Escudo Digital y laBerrea89. Amante de la fotografía, el cine, los comics, los viajes y el buen humor.
Seguir a @albertopayo

Últimas entradas de Alberto Payo (ver todo)

• Descubren un malware preinstalado de fábrica en miles de móviles Android económicos - 13 octubre, 2026
• Color Hunter, el juego donde capturas pantones con tus amigos o familia - 8 octubre, 2026
• Pebi, la app que convierte tus viajes en postales digitales y auténticas - 8 octubre, 2026