[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/midnight-mimosa-celulares-android-baratos-malware":3,"prev-/blog/noticias/midnight-mimosa-celulares-android-baratos-malware":362,"next-/blog/noticias/midnight-mimosa-celulares-android-baratos-malware":340,"related-/blog/noticias/midnight-mimosa-celulares-android-baratos-malware":365,"author-Diego Herrera":385},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":317,"cta":318,"date":323,"dateModified":323,"description":324,"draft":325,"extension":326,"faq":327,"featured":325,"howto":340,"image":341,"imageAlt":342,"intent":343,"keywords":344,"meta":349,"navigation":350,"path":351,"publishedTime":352,"readingTime":353,"seo":354,"seoTitle":355,"stem":356,"tags":357,"__hash__":361},"blog/blog/noticias/midnight-mimosa-celulares-android-baratos-malware.md","Celulares Android baratos que ya traen malware de fábrica: México encabeza las detecciones","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":307},"minimark",[11,32,35,40,43,111,118,122,125,159,170,186,190,201,205,253,257,270,294],[12,13,14,15,19,20,23,24,27,28,31],"p",{},"El ",[16,17,18],"strong",{},"8 de octubre de 2026"," Bitdefender publicó el análisis de una campaña que bautizó ",[16,21,22],{},"Midnight Mimosa",": malware que viene ",[16,25,26],{},"instalado de fábrica en el firmware"," de celulares y tabletas Android económicos, de marca blanca o falsificados. En la lista de países con más equipos detectados, ",[16,29,30],{},"México aparece en primer lugar",", por delante de Francia, Italia, Estados Unidos, Alemania, Brasil y España.",[12,33,34],{},"No es cuestión de esperar un parche de Google: según Bitdefender, la solución de fondo depende de fabricantes y vendedores, que tendrían que publicar un firmware limpio (BleepingComputer recoge testimonios de usuarios de que algunos ya lo hicieron para ciertos modelos), y hasta ahora ninguno ha explicado cómo llegó el malware. El problema no es una app que el usuario descargó por error, sino el sistema con el que el equipo salió de la fábrica. Si tu empresa compró celulares \"de batalla\" para choferes, almacén, vendedores de ruta o caja, vale la pena revisarlos.",[36,37,39],"h2",{"id":38},"qué-encontró-bitdefender","Qué encontró Bitdefender",[12,41,42],{},"Según el reporte, firmado por los investigadores Adrian Mihai Gozob y Alex Baciu, y la cobertura de BleepingComputer (8 de octubre) y SecurityWeek (9 de octubre):",[44,45,46,59],"table",{},[47,48,49],"thead",{},[50,51,52,56],"tr",{},[53,54,55],"th",{},"Dato",[53,57,58],{},"Detalle",[60,61,62,71,79,87,95,103],"tbody",{},[50,63,64,68],{},[65,66,67],"td",{},"Alcance",[65,69,70],{},"Miles de equipos en más de 150 países, observados durante unos dos años",[50,72,73,76],{},[65,74,75],{},"Procesador",[65,77,78],{},"MediaTek (una de las placas identificadas corresponde al MT6762)",[50,80,81,84],{},[65,82,83],{},"Modelos con más volumen",[65,85,86],{},"Doogee S200 X y Cubot KingKong X",[50,88,89,92],{},[65,90,91],{},"Clones detectados",[65,93,94],{},"i17 Pro Max, 17_Pro_Max, S25 Ultra, S26 Ultra, Note 18 Ultra, iPadAirPro",[50,96,97,100],{},[65,98,99],{},"Apps disfrazadas",[65,101,102],{},"Al menos 32 (clima, notas, bloqueo de apps, administrador de archivos)",[50,104,105,108],{},[65,106,107],{},"En Google Play",[65,109,110],{},"13 apps con el mismo código de fraude, de al menos dos cuentas de desarrollador",[12,112,113,114,117],{},"Bitdefender aclara que Doogee y Cubot son marcas reales y que ",[16,115,116],{},"no afirma que hayan instalado el malware a sabiendas",". Parte del firmware estaba firmado con certificados a nombre de Shenzhen Zediel, una empresa china de electrónica, pero el propio reporte dice que eso no prueba que la empresa lo haya creado ni que supiera de él. Todavía no se sabe en qué punto de la cadena de suministro se metió.",[36,119,121],{"id":120},"qué-hace-el-malware-en-el-equipo","Qué hace el malware en el equipo",[12,123,124],{},"El componente principal es una app de sistema con los máximos privilegios. Con eso puede:",[126,127,128,135,141,147,153],"ul",{},[129,130,131,134],"li",{},[16,132,133],{},"Instalar y desinstalar apps en silencio",", sin pedir permiso al usuario.",[129,136,137,140],{},[16,138,139],{},"Otorgarse permisos"," como Accesibilidad y acceso a notificaciones.",[129,142,143,146],{},[16,144,145],{},"Desactivar la Play Store"," mientras instala sus programas y volver a activarla después, lo que Bitdefender interpreta como una forma de esquivar la revisión de Google.",[129,148,149,152],{},[16,150,151],{},"Cargar código desde internet",", es decir, cambiar de comportamiento cuando sus operadores quieran.",[129,154,155,158],{},[16,156,157],{},"Recopilar información"," del equipo y de las apps instaladas.",[12,160,161,162,165,166,169],{},"Hoy su negocio principal es el ",[16,163,164],{},"fraude publicitario",": abre anuncios en ventanas invisibles y genera clics automáticos. Bitdefender también documenta que ",[16,167,168],{},"inscribe el teléfono en una red de proxies residenciales",", o sea, presta la conexión del equipo para que terceros naveguen a través de ella.",[171,172,175],"callout",{"icon":173,"title":174},"i-lucide-triangle-alert","Por qué le importa a una empresa y no solo al usuario",[12,176,177,178,181,182,185],{},"Un celular de proxy conectado al ",[16,179,180],{},"Wi-Fi de la oficina"," hace que tráfico de desconocidos salga con ",[16,183,184],{},"la IP pública de tu empresa",". Si ese tráfico se usa para fraude o ataques, la dirección que aparece en los registros es la tuya. Y un equipo que puede instalar lo que quiera y leer notificaciones también puede leer los códigos de verificación que llegan por SMS o por apps.",[36,187,189],{"id":188},"por-qué-no-se-arregla-restableciendo-el-teléfono","Por qué no se arregla restableciendo el teléfono",[12,191,192,193,196,197,200],{},"El código malicioso vive en la ",[16,194,195],{},"partición del sistema",", la misma que el teléfono restaura cuando lo \"reseteas de fábrica\". Por eso no se desinstala ni desaparece con un restablecimiento. Bitdefender menciona que se puede desactivar con herramientas de desarrollador (ADB) o reemplazando el firmware, y reconoce que ",[16,198,199],{},"ninguna de las dos es realista para la mayoría de los dueños",".",[36,202,204],{"id":203},"qué-hacer-esta-semana","Qué hacer esta semana",[206,207,208,219,225,231,241,247],"ol",{},[129,209,210,213,214,200],{},[16,211,212],{},"Haz la lista de celulares y tabletas de la empresa",", incluidos los que se compraron por internet para reparto, almacén, punto de venta o checador. Anota marca, modelo exacto y dónde se compró. Si compraste líneas nuevas, aprovecha el inventario que hiciste para el ",[215,216,218],"a",{"href":217},"/blog/noticias/registro-lineas-celulares-empresas-15-octubre","registro de celulares de octubre",[129,220,221,224],{},[16,222,223],{},"Busca los modelos señalados",": Doogee S200 X, Cubot KingKong X y cualquier equipo que diga ser iPhone o Samsung \"Ultra\" o \"Pro Max\" pero use Android con procesador MediaTek y haya costado mucho menos que el original.",[129,226,227,230],{},[16,228,229],{},"Revisa apps que nadie instaló",": utilerías de clima, bloqueo de apps, traductores de imágenes o administradores de archivos que aparecieron solas. Bitdefender publicó la lista completa de nombres de paquete e indicadores para que tu proveedor de seguridad los busque.",[129,232,233,236,237,200],{},[16,234,235],{},"Saca de la red principal cualquier equipo sospechoso."," Si todavía se necesita, que use solo la red de invitados, sin acceso a servidores, impresoras ni al ERP. Si tu red no tiene esa separación, es buen momento para ",[215,238,240],{"href":239},"/blog/tutorial/escanear-vulnerabilidades-red","escanearla y ver qué hay conectado",[129,242,243,246],{},[16,244,245],{},"No uses esos equipos para recibir códigos de verificación"," de banca, correo o facturación. Mueve la autenticación a un teléfono confiable o a una llave física.",[129,248,249,252],{},[16,250,251],{},"Reemplaza en lugar de limpiar."," Si la propia Bitdefender reconoce que desactivarlo o reinstalar el firmware no es realista para la mayoría, para una empresa sale más barato dar de baja el equipo que dedicarle horas de técnico.",[36,254,256],{"id":255},"la-lección-para-la-próxima-compra","La lección para la próxima compra",[12,258,259,260,264,265,269],{},"El ahorro de comprar un celular de marca desconocida o un \"clon\" en un marketplace se pierde en cuanto tienes que reemplazarlo o investigar un incidente. Tres reglas simples para incluir en tu ",[215,261,263],{"href":262},"/blog/recurso/plantilla-politica-seguridad-informacion","política de seguridad"," y en tu proceso de ",[215,266,268],{"href":267},"/blog/guia-empresarial/digitalizar-departamento-compras","compras",":",[126,271,272,278,284],{},[129,273,274,277],{},[16,275,276],{},"Compra con distribuidor formal"," y factura, no a vendedores anónimos de marketplace.",[129,279,280,283],{},[16,281,282],{},"Exige equipos certificados por Google Play Protect"," y con actualizaciones de seguridad recientes publicadas por el fabricante.",[129,285,286,289,290,200],{},[16,287,288],{},"Registra cada equipo"," en un inventario con responsable, número de serie y fecha de compra, como parte del ",[215,291,293],{"href":292},"/blog/recurso/kit-ciberseguridad-basico","kit básico de ciberseguridad",[12,295,296,297,301,302,306],{},"Si ya tienes una flotilla de celulares de distintas marcas y no sabes por dónde empezar, en Syswork te ayudamos a ",[215,298,300],{"href":299},"/servicios/ciberseguridad","inventariarlos y separar la red",", o a definir con tu equipo de ",[215,303,305],{"href":304},"/servicios/soporte-tecnico","soporte técnico"," qué modelos se pueden comprar.",{"title":308,"searchDepth":309,"depth":310,"links":311},"",2,3,[312,313,314,315,316],{"id":38,"depth":309,"text":39},{"id":120,"depth":309,"text":121},{"id":188,"depth":309,"text":189},{"id":203,"depth":309,"text":204},{"id":255,"depth":309,"text":256},"noticias",{"title":319,"description":320,"label":321,"to":299,"icon":322},"¿Sabes qué celulares están conectados a la red de tu oficina?","Levantamos el inventario de dispositivos móviles, separamos la red de invitados y te ayudamos a definir qué equipos se pueden comprar y cuáles no.","Ver ciberseguridad","i-lucide-smartphone","2026-10-17","Bitdefender halló malware de fábrica en celulares Android baratos y clones; México tiene más detecciones que nadie. Qué revisar en los equipos de tu empresa.",false,"md",[328,331,334,337],{"question":329,"answer":330},"¿Qué es Midnight Mimosa?","Es el nombre que Bitdefender le dio a una campaña de malware que viene instalado en el firmware de celulares y tabletas Android de bajo costo, de marca blanca o falsificados, casi todos con procesadores MediaTek. Bitdefender publicó su análisis el 8 de octubre de 2026 y lo actualizó el 9. Detectó miles de equipos en más de 150 países durante unos dos años.",{"question":332,"answer":333},"¿Por qué México aparece primero?","En la lista de países con más equipos detectados que publicó Bitdefender, México va en primer lugar, seguido de Francia, Italia, Estados Unidos, Alemania, Brasil y España. El reporte no da porcentajes en el texto, y SecurityWeek aclara que ningún país domina por mucho: México y Francia encabezan, pero la distribución es amplia.",{"question":335,"answer":336},"¿Se quita restableciendo de fábrica o desinstalando apps?","No. El componente principal vive en la partición del sistema y está firmado como app de plataforma, así que no se puede desinstalar y sobrevive a un restablecimiento de fábrica, porque forma parte de la imagen original. Bitdefender menciona que se puede desactivar con herramientas de desarrollador (ADB) o limpiando el firmware, pero reconoce que no es realista para la mayoría de los usuarios. Para una empresa, lo práctico es sacar el equipo de la operación.",{"question":338,"answer":339},"¿Qué modelos están afectados?","Bitdefender menciona como los de mayor volumen el Doogee S200 X y el Cubot KingKong X, aunque aclara que ambas marcas son legítimas y no afirma que hayan instalado el malware a sabiendas. También aparecen clones con nombres como i17 Pro Max, S25 Ultra o S26 Ultra que imitan a iPhone y Samsung sin serlo.",null,"/images/blog/noticias/midnight-mimosa-celulares-android-baratos-malware.jpg","Varios celulares Android económicos sobre un escritorio de oficina, uno con la pantalla mostrando una alerta de seguridad","informational",[345,346,347,348],"midnight mimosa malware android","celulares android baratos malware","malware preinstalado firmware","celulares empresa seguridad méxico",{},true,"/blog/noticias/midnight-mimosa-celulares-android-baratos-malware","2026-10-17T08:15:00-06:00",5,{"title":5,"description":324},"Midnight Mimosa: malware de fábrica en Android baratos","blog/noticias/midnight-mimosa-celulares-android-baratos-malware",[358,359,360,268],"ciberseguridad","android","celulares","TPQZMPKxXmiRiDbUObo8vXN6_XjRpTnRFP_kfJtBmD8",{"path":363,"title":364},"/blog/noticias/smtp-auth-basica-microsoft-365-fin-diciembre","La multifuncional, el ERP y los avisos automáticos: lo que dejará de enviar correo en Microsoft 365 a fin de año",[366,373,379],{"path":367,"title":368,"description":369,"date":323,"category":317,"image":370,"imageAlt":371,"readingTime":372},"/blog/noticias/reglas-antilavado-actividades-vulnerables-30-noviembre","Reglas antilavado: el 30 de noviembre arrancan las nuevas obligaciones para quien vende autos, construye o ofrece crédito","Las nuevas reglas antilavado entran en vigor el 30 de noviembre de 2026. Fechas, montos en pesos y qué preparar en tu ERP si tienes actividades vulnerables.","/images/blog/noticias/reglas-antilavado-actividades-vulnerables-30-noviembre.jpg","Gerente administrativa revisando en su computadora el expediente de un cliente junto a un calendario marcado en noviembre",6,{"path":374,"title":375,"description":376,"date":323,"category":317,"image":377,"imageAlt":378,"readingTime":353},"/blog/noticias/marca-agua-texto-ia-chatgpt-claude-textgrain","El texto que escribe la IA ya lleva marca de agua invisible: qué cambia con ChatGPT y Claude","OpenAI marcará el texto de ChatGPT en Europa y Anthropic ya marca el de Claude en todo el mundo. Qué detecta, qué no prueba y qué significa para tu empresa.","/images/blog/noticias/marca-agua-texto-ia-chatgpt-claude-textgrain.jpg","Documento en pantalla con un patrón de marca de agua apenas visible sobre el texto, en una oficina",{"path":380,"title":381,"description":382,"date":323,"category":317,"image":383,"imageAlt":384,"readingTime":353},"/blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos","Roban la llave del respaldo de ConnectWise (SkyKick) y entran a cientos de tenants de Microsoft 365","Un atacante usó la credencial del respaldo ConnectWise Cloud Backup (antes SkyKick) para entrar a cientos de Microsoft 365 sin MFA. Qué revisar hoy en Entra.","/images/blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos.jpg","Nube de respaldo conectada a varios tenants de Microsoft 365, con una llave roja que abre todos a la vez",{"id":386,"avatar":340,"bio":387,"entityType":388,"expertise":389,"extension":390,"meta":391,"name":6,"role":392,"slug":393,"social":340,"stem":394,"url":7,"__hash__":395},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]