Los móviles de gama baja se están convirtiendo en una alternativa en esta crisis de memoria. El aumento de precios en los modelos de marcas populares provocó que los usuarios buscaran alternativas más asequibles o de segunda mano. El problema es que este camino te puede llevar a comprar un móvil infectado de malware que es extremadamente difícil eliminar.

Investigadores de Bitdefender destaparon una campaña bautizada como Midnight Mimosa, que consiste en un malware incrustado en el firmware de los Android baratos. Según el informe publicado en su web, este malware ha afectado a miles de dispositivos en más de 150 países durante los últimos dos años. Los principales afectados se encuentran en México y España, así como también en Brasil, Francia, Italia y Alemania.

Midnight Mimosa afecta a terminales que cuentan con procesador MediaTek. Al estar dentro del sistema, el malware dispone de privilegios que ninguna aplicación tendría, como instalar y borrar apps sin avisar, conceder permisos delicados como accesibilidad o lectura de mensajes, así como ejecutar código descargado desde servidores remotos. De acuerdo con los investigadores, los atacantes lo usan para generar dinero a base de fraudes publicitarios.

El malware se apoya en aplicaciones señuelo, como supuestos bloqueadores de apps, gestores de archivo, editores de audio o apps del clima. Estas cargan anuncios reales a través de un SDK legítimo y colocan una ventana invisible encima para que el usuario nunca los vea, así se ejecutan en el fondo y los hackers cobran el dinero. Bitdefender menciona que han descubierto unas 32 aplicaciones fraudulentas relacionadas con esta campaña.

Los atacantes también aprovechan el malware para convertir el móvil en un nodo proxy residencial. ¿Qué teléfonos incluyen el malware Midnight Mimosa y cómo se elimina? Entre los terminales afectados por este malware se encuentran el Doogee S200 X y el Cubot KINGKONG X, ambos diseñados para uso rudo en exteriores e impulsados por el procesador MediaTek Dimensity 7050.

Los investigadores también encontraron el malware en imitaciones de Samsung y Apple, principalmente en aquellos que se hacen pasar por un Galaxy S25 o S26 Ultra. Estos últimos son comunes en tiendas chinas como AliExpress, donde los vendedores se aprovechan de la ingenuidad del usuario para venderles un clon de baja calidad. Dicen por ahí que lo barato sale caro y Midnight Mimosa es el ejemplo perfecto.

El malware es muy difícil de eliminar, ya que los paquetes se hacen pasar por componentes firmados y viven en la partición del sistema. Debido a que Android no ofrece la opción de eliminarlos, lo más que podría hacer un usuario es eliminar la app señuelo, aunque el malware la volverá a instalar más tarde. Midnight Mismosa puede desactivar temporalmente la Play Store para esquivar Play Protect al descargar e instalar una aplicación maliciosa.

Una vez que lo logra, los reactiva para no levantar sospecha e incluso manipula el registro del instalador para que parezca que bajaste la app de Google Play. Si compras un móvil de dudosa procedencia, es probable que venga infectado con malware. El usuario no puede hacer mucho, ya que cualquier defensa se anula, a menos que limpie el firmware o desactive el componente por medio de ADB.

Para un usuario entusiasta que flashea ROMs, este paso sería sencillo, pero una persona común tendría problemas y podría dejar inservible el terminal. En el caso de Cubot y Doogee, las empresas ya han liberado parches para resolver el problema, aunque ninguna explicó cómo llegó el código malicioso al firmware.