El 8 de octubre de 2026 Bitdefender publicó el análisis de una campaña que bautizó Midnight Mimosa: malware que viene instalado de fábrica en el firmware de celulares y tabletas Android económicos, de marca blanca o falsificados. En la lista de países con más equipos detectados, México aparece en primer lugar, por delante de Francia, Italia, Estados Unidos, Alemania, Brasil y España.
No es cuestión de esperar un parche de Google: según Bitdefender, la solución de fondo depende de fabricantes y vendedores, que tendrían que publicar un firmware limpio (BleepingComputer recoge testimonios de usuarios de que algunos ya lo hicieron para ciertos modelos), y hasta ahora ninguno ha explicado cómo llegó el malware. El problema no es una app que el usuario descargó por error, sino el sistema con el que el equipo salió de la fábrica. Si tu empresa compró celulares "de batalla" para choferes, almacén, vendedores de ruta o caja, vale la pena revisarlos.
Qué encontró Bitdefender
Según el reporte, firmado por los investigadores Adrian Mihai Gozob y Alex Baciu, y la cobertura de BleepingComputer (8 de octubre) y SecurityWeek (9 de octubre):
| Dato | Detalle |
|---|---|
| Alcance | Miles de equipos en más de 150 países, observados durante unos dos años |
| Procesador | MediaTek (una de las placas identificadas corresponde al MT6762) |
| Modelos con más volumen | Doogee S200 X y Cubot KingKong X |
| Clones detectados | i17 Pro Max, 17_Pro_Max, S25 Ultra, S26 Ultra, Note 18 Ultra, iPadAirPro |
| Apps disfrazadas | Al menos 32 (clima, notas, bloqueo de apps, administrador de archivos) |
| En Google Play | 13 apps con el mismo código de fraude, de al menos dos cuentas de desarrollador |
Bitdefender aclara que Doogee y Cubot son marcas reales y que no afirma que hayan instalado el malware a sabiendas. Parte del firmware estaba firmado con certificados a nombre de Shenzhen Zediel, una empresa china de electrónica, pero el propio reporte dice que eso no prueba que la empresa lo haya creado ni que supiera de él. Todavía no se sabe en qué punto de la cadena de suministro se metió.
Qué hace el malware en el equipo
El componente principal es una app de sistema con los máximos privilegios. Con eso puede:
- Instalar y desinstalar apps en silencio, sin pedir permiso al usuario.
- Otorgarse permisos como Accesibilidad y acceso a notificaciones.
- Desactivar la Play Store mientras instala sus programas y volver a activarla después, lo que Bitdefender interpreta como una forma de esquivar la revisión de Google.
- Cargar código desde internet, es decir, cambiar de comportamiento cuando sus operadores quieran.
- Recopilar información del equipo y de las apps instaladas.
Hoy su negocio principal es el fraude publicitario: abre anuncios en ventanas invisibles y genera clics automáticos. Bitdefender también documenta que inscribe el teléfono en una red de proxies residenciales, o sea, presta la conexión del equipo para que terceros naveguen a través de ella.
Por qué no se arregla restableciendo el teléfono
El código malicioso vive en la partición del sistema, la misma que el teléfono restaura cuando lo "reseteas de fábrica". Por eso no se desinstala ni desaparece con un restablecimiento. Bitdefender menciona que se puede desactivar con herramientas de desarrollador (ADB) o reemplazando el firmware, y reconoce que ninguna de las dos es realista para la mayoría de los dueños.
Qué hacer esta semana
- Haz la lista de celulares y tabletas de la empresa, incluidos los que se compraron por internet para reparto, almacén, punto de venta o checador. Anota marca, modelo exacto y dónde se compró. Si compraste líneas nuevas, aprovecha el inventario que hiciste para el registro de celulares de octubre.
- Busca los modelos señalados: Doogee S200 X, Cubot KingKong X y cualquier equipo que diga ser iPhone o Samsung "Ultra" o "Pro Max" pero use Android con procesador MediaTek y haya costado mucho menos que el original.
- Revisa apps que nadie instaló: utilerías de clima, bloqueo de apps, traductores de imágenes o administradores de archivos que aparecieron solas. Bitdefender publicó la lista completa de nombres de paquete e indicadores para que tu proveedor de seguridad los busque.
- Saca de la red principal cualquier equipo sospechoso. Si todavía se necesita, que use solo la red de invitados, sin acceso a servidores, impresoras ni al ERP. Si tu red no tiene esa separación, es buen momento para escanearla y ver qué hay conectado.
- No uses esos equipos para recibir códigos de verificación de banca, correo o facturación. Mueve la autenticación a un teléfono confiable o a una llave física.
- Reemplaza en lugar de limpiar. Si la propia Bitdefender reconoce que desactivarlo o reinstalar el firmware no es realista para la mayoría, para una empresa sale más barato dar de baja el equipo que dedicarle horas de técnico.
La lección para la próxima compra
El ahorro de comprar un celular de marca desconocida o un "clon" en un marketplace se pierde en cuanto tienes que reemplazarlo o investigar un incidente. Tres reglas simples para incluir en tu política de seguridad y en tu proceso de compras:
- Compra con distribuidor formal y factura, no a vendedores anónimos de marketplace.
- Exige equipos certificados por Google Play Protect y con actualizaciones de seguridad recientes publicadas por el fabricante.
- Registra cada equipo en un inventario con responsable, número de serie y fecha de compra, como parte del kit básico de ciberseguridad.
Si ya tienes una flotilla de celulares de distintas marcas y no sabes por dónde empezar, en Syswork te ayudamos a inventariarlos y separar la red, o a definir con tu equipo de soporte técnico qué modelos se pueden comprar.
