El malware Android preinstalado que Bitdefender ha bautizado como Midnight Mimosa lleva dos años activo en 150 países. Se instala en fábrica, antes del primer encendido, y el propietario de un móvil barato no puede desinstalarlo.
Una botnet proxy que factura en publicidad falsa
La campaña se apoya en plataformas MediaTek, base de buena parte de los terminales de gama de entrada que circulan por mercados internacionales. El código viaja dentro del firmware y se esconde en paquetes que imitan componentes nucleares del sistema. Bitdefender documenta al menos cuatro variantes —com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot y com.android.sys.bcprot— firmadas con certificados distintos. El nombre del paquete es lo de menos: lo que comparten todas las variantes es el mismo código malicioso y el mismo servidor de mando.
Nada de esto se detectó por firma, sino por comportamiento. Un paquete que se hacía pasar por componente del sistema reclamaba permisos que ningún componente del sistema necesita. La tecnología App Anomaly Detection de Bitdefender, activa desde 2023, marcó la anomalía: sin icono, con la etiqueta genérica ‘System’ y con su maquinaria real escondida en una librería nativa que solo despierta en tiempo de ejecución. Bitdefender lo resume con una idea que comparto: la mayoría de la seguridad móvil parte de una premisa que casi nunca se cumple, la de que una aplicación limpia en el análisis estático es una aplicación segura.
Los privilegios son de nivel de sistema. El componente instala y desinstala aplicaciones sin intervención del usuario, concede permisos y descarga código desde un servidor remoto. Bitdefender documenta al menos 32 aplicaciones que se cuelan por esta vía con apariencia de utilidades: bloqueadores, meteorología, gestores de archivos, herramientas de iconos, lectores OCR y editores de audio. El componente se autoconcede Accesibilidad, Acceso a Notificaciones y lectura y escritura de SMS, aunque los investigadores no hayan observado uso efectivo de los dos últimos permisos.
El truco de la instalación silenciosa es fino. Antes de soltar cada carga útil, el malware deshabilita Google Play para esquivar Play Protect, la vuelve a habilitar acto seguido y mantiene una red de seguridad que la reactiva cuando detecta a alguien delante de la pantalla. También puede registrar Google Play como origen de aplicaciones que nunca pasaron por la tienda; las legítimas llevan un bloque de firma en servidor, el frosting, y las falsificadas no.
La defensa del usuario se apoya en dos certezas —la revisión de la tienda y poder desinstalar— y esta amenaza anula las dos.
Bajo el capó hay una arquitectura por capas. Una librería nativa, libeasy.so, descifra un marco oculto que pide su configuración a un servidor de mando camuflado como API meteorológica. Ese marco carga después los plugins que ejecutan el fraude publicitario y las instalaciones silenciosas, y puede actualizarse con código nuevo. Las cargas viajan con extensiones engañosas —JAR renombrados como .o y APK servidos como .png—, así que una muestra analizada fuera de línea puede no contener nada activo.
El fraude publicitario es ajustable. El plugin muestra anuncios a pantalla completa y superposiciones que nadie ha pedido, disparadas al encender la pantalla o por orden del operador. Marca esas superficies como seguras, de modo que no aparecen en capturas ni grabaciones, y lanza clics sintéticos con topes diarios y límites de tiempo para parecer tráfico orgánico. Las aplicaciones de cobertura funcionan como pares de una malla: una genera la impresión, otra la renderiza y cobra. El sistema no registra el clic fraudulento; lo hace la aplicación visible que el usuario sí tiene delante.
Hay una pieza que no busca publicidad. La aplicación com.mobile.applock.en es un proxy TCP de propósito único, sin anuncios y sin interfaz, que enrola el teléfono como nodo de retransmisión. Se conecta a un servidor de control por TCP crudo en el puerto 6000, rota entre cuatro dominios y canaliza tráfico entre el controlador y el objetivo que este le indique. Ahí está la venta de capacidad de botnet para ataques DDoS al mejor postor. Bitdefender incluye una fe de errata: la dirección IP que señaló en un primer momento como servidor de mando resultó ser un sinkhole, no un centro de control.
El verdadero negocio no está en el anuncio, sino en el tráfico ajeno que pasa por el teléfono.
Zediel, los clones y el eslabón que nadie vigila
Muchos de los terminales afectados usan firmware firmado con certificados vinculados a Shenzhen Zediel. Bitdefender ha confirmado que esos certificados se emplearon para firmar el firmware, pero no ha podido establecer cómo llegó allí el código ni si el titular de los certificados lo sabía. Otros equipos infectados no llevan firmware de Zediel, lo que abre la puerta a un fabricante, a un integrador de firmware, a un socio logístico o a cualquier otro actor de la cadena. El informe deja el origen sin atribuir, y esa es precisamente la parte más incómoda del asunto.
El parque de dispositivos es un museo de falsificaciones. Entre los modelos afectados aparecen nombres como ‘i17 Pro Max’, ‘S25 Ultra’ o ‘Note 18 Ultra’, que no existen en ningún catálogo oficial. Los dos modelos más comunes sí son reales y de gama económica: el S200 X de Doogee y el KINGKONG X de Cubot. En foros como XDA hay usuarios que describen un paquete com.android.sys.* que reaparece con otro nombre después de intentar eliminarlo.
Cosas que pasan cuando el firmware llega precocinado de fábrica.
La operación tampoco nació ayer. Bitdefender ha enlazado su infraestructura, por dominios compartidos, con la familia Android.Joker que Dr.Web documentó en 2021 y con las familias Android.Phantom y Click de 2025. El mismo conglomerado lleva cinco años rotando módulos de monetización sobre una base técnica estable, y ahora añade el proxyware residencial a la cesta.
En algo menos de dos años, la familia ha aparecido en miles de dispositivos únicos repartidos por más de 150 países. El grueso se concentra en dos centros regionales: México, Francia e Italia por un lado, y Estados Unidos, Alemania, Brasil y España por otro. Esa distribución tiene una lectura técnica concreta: no es el canal de un operador de telefonía, sino hardware que circula por mercados internacionales en línea. El mismo terminal que se revende en una aplicación de segunda mano en Sevilla se revende en Ciudad de México o en Nápoles.
Y no todo vive en el firmware. Trece aplicaciones publicadas en Google Play hablan con los mismos servidores, bajo al menos dos cuentas de desarrollador y trece certificados de firma distintos. Pasaron la revisión de la tienda, ofrecen alguna función real y, además, muestran anuncios fuera de la aplicación, a veces con el teléfono inactivo. No tienen los privilegios de los paquetes preinstalados, pero Bitdefender las califica igualmente de peligrosas. Le adelanto que este es el patrón que vamos a ver repetirse: la capa visible cumple su función y la invisible cobra.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: infiltración en la cadena de suministro con persistencia a nivel de firmware. No hay vulnerabilidad que parchear ni descarga que bloquear, porque el código llega acreditado como parte del sistema operativo, con privilegios que ninguna herramienta convencional cuestiona. La botnet resultante es de doble uso: infraestructura de fraude publicitario hoy, capacidad de DDoS mañana. Bitdefender insiste en un punto que suscribo: el malware preinstalado es una categoría de amenaza distinta, porque toda defensa del usuario presupone que el dueño está en el circuito en el momento de la instalación.
No hay servicio estatal atribuido en el informe. El actor es criminal y persigue ingresos, pero el subproducto —una red de proxies residenciales extendida por 150 países— es exactamente la infraestructura que cualquier servicio de inteligencia compra, alquila o intercepta cuando la necesita. Ahí está el riesgo de fondo: el crimen construye la red y el Estado paga por usarla. Sobre el nivel de clasificación estimado, el material expuesto es de grado bajo si hablamos de datos técnicos —modelo, aplicaciones instaladas, identificadores—, pero escala a sensible en cuanto el teléfono infectado pertenece a un periodista, a un abogado o a un cargo público.
SolarWinds, en 2020, demostró que comprometer la cadena de suministro rinde más que atacar al objetivo final: un solo proveedor y decenas de miles de víctimas de primer nivel. Lo de Midnight Mimosa es la versión barata y masiva del mismo principio, aplicada a un mercado sin auditoría. He seguido de cerca la trayectoria de Bitdefender en este terreno y le reconozco un mérito: documenta sin adornar la atribución. En SolarWinds el SVR quedó señalado por análisis técnico cruzado de varias firmas; aquí no hay atribución estatal posible y el informe lo dice con honestidad. Quien le venda a usted lo contrario, le está vendiendo humo.
Para el usuario español, la conclusión es incómoda. Los dos remedios en los que confía —la revisión de la tienda y el botón de desinstalar— no existen en este escenario. Limpiar el teléfono exige intervenir el firmware o desactivar el componente por ADB, algo fuera del alcance de la mayoría. La solución duradera no está en el bolsillo del afectado, sino en los fabricantes, los integradores, y los mercados que venden estos terminales. Ya advertí en El quinto elemento que el próximo 11S empezará con un clic; lo que no había anticipado es que el clic pudiera venir instalado de fábrica.
El siguiente hito para medir si esto entra en el catálogo oficial de amenazas serán los próximos boletines del CCN-CERT y la actualización anual del panorama de amenazas de ENISA, que ya han señalado el software preinstalado en terminales de gama baja como vector desatendido. Mientras tanto, hay una pregunta que conviene hacerse antes de comprar cualquier móvil de marca desconocida a mitad de precio: quién firma el firmware y quién responde cuando ese firmware viene con regalo. Piénselo dos veces.
