Mimosa de Medianoche: teléfonos Android económicos con troyano proxy en el firmware. Cómo verificar la granja

El 8 de octubre de 2026, Bitdefender Labs publicó un análisis de la campaña Midnight Mimosa: smartphones Android baratos con chips MediaTek salen de fábrica con código malicioso directamente en la partición del firmware. El código muestra publicidad invisible, instala y desinstala aplicaciones sin consentimiento, y uno de sus módulos registra el teléfono en una red de proxies residenciales. Los investigadores contaron miles de dispositivos infectados en más de 150 países en aproximadamente dos años. No se puede eliminar la infección de manera convencional.

Para el comprador común, esta es una historia sobre "no comprar clones de Galaxy sospechosamente baratos". Para aquellos que mantienen granjas de teléfonos para multi-cuentas, SMM, pruebas de aplicaciones o proxies móviles caseros, el riesgo es más concreto. La compra al por mayor de dispositivos Android económicos es precisamente lo que crea dicha granja. A continuación, analizaremos qué encontraron, qué riesgos conlleva para la granja y cómo verificar sus dispositivos.

Qué encontraron en Midnight Mimosa

La campaña fue detectada por el sistema App Anomaly Detection de Bitdefender. Le llamó la atención la aplicación del sistema com.android.system.lite con la firma "System", que silenciosamente instalaba y desinstalaba otros programas. Luego se descubrió que está integrada en el firmware y firmada con un certificado de plataforma. Por lo tanto, tiene derechos de sistema: instalación y eliminación de paquetes, otorgamiento de permisos, modificación de configuraciones protegidas.

La cadena está organizada en varios niveles:

• El cargador del sistema (com.android.system.lite y nombres similares: com.android.sys.prot, com.android.sys.gmsprot) con una biblioteca nativa libeasy.so. Esta descifra el marco oculto dentro del APK.
• El marco oculto descarga plugins del servidor de control y ejecuta código recibido de forma remota.
• Los plugins son responsables del fraude publicitario, la instalación silenciosa de aplicaciones "asociadas" y el WebView integrado.
• Aplicaciones de cobertura: clima, bloqueador de aplicaciones, notas, reconocimiento de texto. Bitdefender contabilizó alrededor de 32 de estos programas.

Antes de cada instalación silenciosa, el malware ejecuta pm disable com.android.vending, es decir, desactiva Google Play y luego lo vuelve a activar. Los investigadores suponen que así evita la verificación de Play Protect, aunque este efecto no ha sido confirmado. Algunas muestras además falsifican el registro de la fuente de instalación, haciendo que la aplicación parezca descargada desde Google Play.

Dinero: publicidad invisible

Los ingresos principales provienen del fraude publicitario. Los anuncios se muestran en ventanas sobre otras aplicaciones, incluso cuando el teléfono está inactivo. Estas ventanas están marcadas como protegidas, por lo que las capturas de pantalla o grabaciones de pantalla no las capturan. La frecuencia de "clics" se establece mediante una configuración remota, y los clics se simulan programáticamente. A los 60 segundos de ser mostrados, se envía un evento ficticio de "conversión". Los ingresos van a las aplicaciones de cobertura, que tienen SDK publicitarios reales.

Módulo proxy: el teléfono como nodo de salida

Para nuestro tema, lo principal es la aplicación com.mobile.applock.en, que se llama "Locket". No tiene interfaz ni publicidad, y solo requiere permisos de internet y estado de la red. Según datos de Bitdefender, hace lo siguiente:

1. abre una conexión TCP "cruda" con el servidor de control en el puerto 6000;
2. envía una huella del dispositivo: modelo, versión de Android, SDK, build ID y marca;
3. recibe del servidor una lista de direcciones en formato "host, puerto" y un intervalo de sondeo;
4. construye un túnel a cada dirección y reenvía tráfico ajeno en ambas direcciones.

En otras palabras, a través de su IP y SIM, alguien más accede a internet. Es necesario hacer una aclaración honesta: Bitdefender confirmó que la infraestructura acepta el registro de teléfonos. Pero un dispositivo de prueba recién registrado no recibió tareas de retransmisión, y el servidor de control, que se vio activo, luego fue reclasificado como sinkhole. La retransmisión activa de tráfico aún no ha sido probada. Sin embargo, el mecanismo está listo y se puede activar con un solo comando desde el servidor.

Qué dispositivos están en riesgo

• Chipset: MediaTek.
• Modelos mencionados: Doogee S200 X y Cubot KINGKONG X. El propietario de Cubot en el foro XDA describió el paquete oculto com.android.sys.*, que regresaba tras ser eliminado. Según un informe, una actualización oficial del firmware devolvió el malware.
• Clones de buques insignia: en los firmware aparecen nombres como S25 Ultra, S26 Ultra, S24 Ultra, i17 Pro Max y similares. Son clones baratos de Samsung y Apple, que abundan en marketplaces como AliExpress.
• Geografía: la mayoría de las infecciones se encuentran en México, Francia e Italia, seguidas de EE. UU., Alemania, Brasil, España, y luego un largo rabo por África, el Sudeste Asiático y el Medio Oriente.

Parte de los firmware están firmados con el certificado CN=ZED, L=ShenZhen, que se vincula a Shenzhen Zediel. Los investigadores aclaran que esto no prueba la participación de la empresa. No se sabe quién y en qué etapa de la cadena de suministro modificó el firmware. Según la prensa de habla hispana, Doogee y Cubot ya han lanzado parches, pero no explicaron cómo llegó el código al firmware.

Además, Bitdefender encontró en Google Play 13 aplicaciones con el mismo código publicitario. Estas se conectan a la misma infraestructura, pero no tienen derechos de sistema. Se publicaron bajo al menos dos cuentas de desarrolladores, fivedev y CPS Developer.

Por qué esto es un problema específicamente para las granjas de teléfonos

Este no es el primer caso de este tipo. Anteriormente, se encontraron cadenas similares en reproductores de automóviles con actualizadores comprometidos y en dispositivos Android. Ahora en la lista están los smartphones comunes, que se compran en lotes. Esto conlleva los siguientes riesgos:

• Tráfico ajeno en su IP. Si el módulo proxy comienza a retransmitir tráfico, su IP móvil aparecerá en los registros de sitios junto a spam, ataques de fuerza bruta y scraping. Las plataformas antifraude evalúan la reputación de la dirección, y las cuentas en la granja comenzarán a ser verificadas y baneadas sin razón aparente.
• Consumo de tráfico y batería. La publicidad invisible y los túneles consumen el paquete móvil y la carga. En una granja de decenas de dispositivos, esto representa un gasto significativo.
• Cuentas relacionadas. El malware instala aplicaciones por comando y recopila la huella del dispositivo. En una granja donde cada teléfono debe parecer una persona diferente, el software adicional con un servidor de control común crea una conexión innecesaria entre los dispositivos.
• Acceso a SMS y funciones especiales. El módulo del sistema solicita permisos de Accessibility, acceso a notificaciones y SMS, y puede otorgárselos a sí mismo. Durante el análisis no se notó su uso, pero en un teléfono que recibe códigos de confirmación para cuentas de trabajo, tales permisos son peligrosos.
• El reinicio no ayuda. El componente reside en la partición del sistema, por lo que un reinicio a la configuración de fábrica devuelve el teléfono al mismo estado infectado.

Cómo verificar sus teléfonos: lista de verificación

Bitdefender aconseja no basarse en los nombres de los paquetes, sino en el núcleo estable (libeasy.so, cn.kw.lib.hex, dominio api.weatherlive.world), porque los nombres cambian. Sin un escáner antivirus, esto es complicado, pero una primera filtración a través de ADB toma un minuto por teléfono.

1. Active la depuración por USB y conecte el teléfono a la computadora con adb.
2. Busque paquetes del sistema sospechosos:
   adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
   Un Android normal no contiene tales nombres. Cualquier coincidencia es motivo para aislar el dispositivo.
3. Busque aplicaciones de cobertura:
   adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy"
4. Verifique la fuente de instalación del paquete sospechoso:
   adb shell dumpsys package com.dmstudio.weather | grep -i installer
   Si aparece com.android.vending y usted no instaló la aplicación, el registro podría haber sido falsificado.
5. Revise las conexiones de red. El puerto 6000 se indica con el hexadecimal :1770 en la columna de dirección remota: adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". Si el acceso a estos archivos está cerrado, revise las conexiones en el router de la granja.
6. Intente desactivar el componente para el usuario: adb shell pm disable-user --user 0 <nombre_paquete>. Este es el camino a través de ADB que menciona Bitdefender. En algunos firmware, los paquetes del sistema no se desactivan de esta manera, y eso es normal. Esto significa que el dispositivo necesita ser reprogramado con un firmware limpio oficial o ser dado de baja.
7. Verifique el firmware con el fabricante. Si ha salido un parche, instálelo y luego repita los pasos 2–5: según los informes de los propietarios, a veces la actualización devolvía el malware.

Nivel de red: cierre la salida de la granja

Aún los teléfonos que parecen limpios es útil mantenerlos detrás de un router con lista blanca. Permita solo los puertos y direcciones que realmente necesiten sus aplicaciones: HTTPS a los sitios necesarios y DNS a su resolutor. Prohíba todo lo demás. TCP saliente al puerto 6000 y solicitudes a los dominios del informe de Bitdefender no se encuentran en el funcionamiento normal de la granja, tal intento debe considerarse un signo de infección. Los registros del router durante un día mostrarán qué dispositivo "llama" a donde no debería.

Reglas de compra para el futuro

• No compre un "flagship" por el precio de un económico. S26 Ultra por una quinta parte del precio es casi seguro un clon, y los clones se mencionan con mayor frecuencia en este informe.
• Compre a vendedores oficiales y verifique el modelo con el sitio del fabricante. Esto reduce el riesgo, pero no garantiza: Doogee y Cubot se venden oficialmente.
• Verifique cada nuevo dispositivo antes de introducirlo en la granja con la lista de verificación anterior. Cinco minutos al ingresar son más económicos que lidiar después con baneos en toda la granja.
• Mantenga un registro: modelo, versión del firmware, fecha de verificación. Cuando salga el siguiente informe sobre un modelo específico, en un minuto sabrá cuántos de esos dispositivos tiene.

Y si la granja es necesaria por la IP móvil

Muchos mantienen teléfonos y módems solo por una dirección móvil limpia para multi-cuentas o scraping. La construcción propia proporciona control total, y en el material sobre proxies móviles hechos a mano analizamos en qué consiste. Pero junto con el control, asume también la cadena de suministro de hardware. Midnight Mimosa muestra que verificar el firmware de un dispositivo barato es casi imposible. Si solo necesita el teléfono como salida a la red, puede no mantener hardware en absoluto y optar por proxies móviles con pago por gigabyte: la rotación y el cambio de geolocalización se configuran sin necesidad de comprar y reprogramar dispositivos. Para tareas donde la red móvil no es obligatoria, existen direcciones residenciales.

Conclusión

Midnight Mimosa ya no es la primera historia sobre módulos proxy en hardware Android barato. En 2026, se trataba de dispositivos de TV, reproductores de automóviles, y ahora también smartphones. Hay una lección común: si un dispositivo es sospechosamente barato, alguien podría haber incrustado en el firmware su forma de ganar dinero con él, y una de esas formas es vender su IP para tráfico ajeno. Para una granja de teléfonos, esto significa tres cosas: verificar cada dispositivo al ingresar, cerrar salidas de red innecesarias para la granja y evaluar fríamente si realmente necesita su propio hardware por una dirección móvil.