Midnight Mimosa: El malware silencioso integrado de fábrica en terminales Android económicos
La creencia de que estrenar un móvil garantiza un entorno libre de amenazas ha quedado desmentida. La investigación publicada por Bitdefender sobre la operación Midnight Mimosa revela un ataque a la cadena de suministro donde el malware no llega por descuido del usuario: viaja preinstalado en la imagen de fábrica del sistema operativo.
1. Qué es Midnight Mimosa: Ataque a la cadena de suministro
Midnight Mimosa es una operación maliciosa global con presencia detectada en más de 150 países. A diferencia del software dañino convencional, no se distribuye mediante descargas externas ni enlaces fraudulentos; se trata de un ataque a la cadena de suministro de hardware (supply chain attack).
El código viene compilado e integrado en la partición /system del dispositivo, habiendo sido firmado criptográficamente durante las etapas intermedias de personalización de software por ensambladores e intermediarios OEM en distritos de Shenzhen (China). El vector de hardware objetivo son dispositivos construidos sobre chipsets MediaTek, divididos en:
Clones y Marcas Blancas (Shanzhai)
Terminales que imitan gamas inexistentes (ej. i17 Pro Max, Note 18 Ultra) o que manipulan internamente el modelo reportado para simular dispositivos Samsung de gama alta.
Marcas de Nicho y Rugerizados Económicos
Teléfonos comerciales de bajo coste con alta presencia de telemetría infectada de origen, destacando modelos todoterreno como el Cubot KINGKONG X y el Doogee S200 X.
2. Mecánica técnica y modo de operación
Al residir en la partición protegida del sistema, el malware opera con atributos imposibles de alcanzar para una aplicación estándar:
- El Habilitador (The Enabler): Se camufla bajo identificadores que suplantan servicios legítimos de Android, principalmente
com.android.system.liteycom.android.sys.ext. - Privilegios UID 1000 (System Context): Al ser una aplicación privilegiada de fábrica, tiene capacidad para concederse a sí misma permisos especiales (lectura de SMS, intercepción de notificaciones y servicios de accesibilidad) sin solicitar interacción ni confirmación al usuario.
- Evasión dinámica de Google Play Protect: Cuando el módulo base contacta con su servidor de control (C2) para descargar un nuevo paquete, aprovecha sus privilegios para desactivar temporalmente la aplicación de Google Play Store. Inyecta el componente y reactiva la tienda inmediatamente, burlando el análisis local de seguridad.
- Botnet y Fraude Publicitario: Despliega aplicaciones señuelo para generar impresiones y clics fantasma, e inyecta proxies TCP directos (frecuentemente en el puerto 6000 como
com.mobile.applock.en) que convierten el terminal en un nodo de una botnet de proxies residenciales para canalizar ataques de terceros o tráfico malicioso anónimo.
3. Por qué no sirve el restablecimiento de fábrica
Cuando se ejecuta un Factory Reset o restablecimiento de fábrica, Android únicamente formatea la partición del usuario (/data) y borra el caché.
Dado que Midnight Mimosa reside físicamente en la partición de solo lectura /system, **la imagen de recuperación original vuelve a escribir el sistema operativo manipulado**. Al encenderse tras el formateo, el malware vuelve a estar 100% operativo y listo para reanudar su ciclo de infección.
| Método de Intervención | Efectividad | Consecuencia Técnica |
|---|---|---|
| Desinstalar desde el móvil | Nula | El botón aparece inhabilitado por ser app de sistema. |
| Restablecimiento de fábrica | Nula | La ROM recupera el paquete malicioso automáticamente. |
| Inhabilitación por ADB (disable-user) | Paliativa / Temporal | Suspende la ejecución en el usuario, pero los binarios siguen en la ROM. |
| Flasheo de ROM Limpia (AOSP / GSI) | Definitiva | Sustituye la partición /system (requiere bootloader desbloqueado). |
4. Procedimiento de auditoría y contención por ADB
Con las Opciones de desarrollador y la Depuración USB habilitadas, es posible auditar el dispositivo desde un ordenador mediante Android Debug Bridge (ADB):
adb shell pm list packages | grep -E «system.lite|sys.ext|mobile.applock»
# 2. Verificar la ruta de almacenamiento físico
adb shell pm path com.android.system.lite
# 3. Forzar detención y congelar la ejecución para el Usuario 0
adb shell am force-stop com.android.system.lite
adb shell pm disable-user –user 0 com.android.system.lite
package:/system/priv-app/..., el código forma parte de la ROM física. Congelarlo con pm disable-user alivia el impacto de rendimiento y detiene el tráfico del proxy, pero el dispositivo sigue comprometido a nivel de integridad de hardware.
¿Sospechas que tu dispositivo está infectado? Asesoramiento con sinceridad económica
En Ledesma Informáticos abordamos la ciberseguridad con rigor técnico y total transparencia profesional hacia cada cliente.
Si tienes dudas sobre la integridad de tu terminal o necesitas orientación preventiva para tomar la decisión más segura y económica:
