Midnight Mimosa: celulares Android baratos com trojan proxy na firmware. Como verificar a fazenda

Em 8 de outubro de 2026, os Bitdefender Labs publicaram uma análise da campanha Midnight Mimosa: smartphones Android baratos com chips MediaTek saem da fábrica com código malicioso diretamente na partição do sistema do firmware. O código exibe anúncios invisíveis, instala e desinstala aplicativos sem permissão, e um de seus módulos registra o telefone em uma rede de proxies residenciais. Os pesquisadores contaram milhares de dispositivos infectados em mais de 150 países ao longo de aproximadamente dois anos. A infecção não pode ser removida de maneira convencional.

Para o comprador comum, essa é uma história sobre "não compre clones do Galaxy que são suspeitamente baratos". Para aqueles que mantêm fazendas de telefones para multi-contas, SMM, testes de aplicativos ou proxies móveis caseiros, o risco é mais concreto. A compra em massa de dispositivos Android de baixo custo é exatamente o que cria essa fazenda. Abaixo, vamos analisar o que exatamente foi encontrado, quais são os riscos para a fazenda e como verificar seus dispositivos.

O que foi encontrado no Midnight Mimosa

A campanha foi detectada pelo sistema de Detecção de Anomalias de Aplicativos da Bitdefender. Ele ficou alerta com o aplicativo do sistema com.android.system.lite com a assinatura "System", que silenciosamente instalava e desinstalava outros programas. Depois, foi descoberto que ele está embutido no firmware e assinado com um certificado de plataforma. Portanto, ele possui direitos de sistema: instalação e remoção de pacotes, concessão de permissões, alteração de configurações protegidas.

A cadeia é organizada em várias etapas:

• Bootloader do sistema (com.android.system.lite e nomes semelhantes: com.android.sys.prot, com.android.sys.gmsprot) com a biblioteca nativa libeasy.so. Ela decifra o framework oculto dentro do APK.
• Framework oculto baixa plugins do servidor de controle e executa código recebido remotamente.
• Plugins são responsáveis pela fraude publicitária, instalação silenciosa de aplicativos "parceiros" e WebView embutido.
• Aplicativos de cobertura: clima, bloqueador de aplicativos, notas, reconhecimento de texto. A Bitdefender contabilizou cerca de 32 desses programas.

Antes de cada instalação silenciosa, o malware executa pm disable com.android.vending, ou seja, desativa o Google Play e depois o ativa novamente. Os pesquisadores suspeitam que isso impede a verificação do Play Protect, embora esse efeito não tenha sido confirmado. Parte das amostras ainda falsifica o registro da fonte de instalação, fazendo com que o aplicativo pareça ter sido baixado do Google Play.

Dinheiro: publicidade invisível

A principal fonte de renda vem da fraude publicitária. Anúncios são exibidos em janelas sobre outras aplicações, inclusive quando o telefone está inativo. Essas janelas são marcadas como protegidas, portanto, capturas de tela ou gravações não as capturam. A frequência dos "cliques" é definida por uma configuração remota, e os cliques são simulados programaticamente. Após 60 segundos da exibição, um evento fictício de "conversão" é enviado. A receita vai para os aplicativos de cobertura, que têm SDKs publicitários reais instalados.

Módulo de proxy: telefone como nó de saída

Para o nosso tema, o principal é o aplicativo com.mobile.applock.en, que se autodenomina "Locket". Ele não possui interface nem anúncios, e as permissões são apenas internet e estado da rede. De acordo com a Bitdefender, ele faz o seguinte:

1. abre uma conexão TCP "bruta" com o servidor de controle na porta 6000;
2. envia a impressão digital do dispositivo: modelo, versão do Android, SDK, ID de compilação e marca;
3. recebe do servidor uma lista de endereços no formato "host, porta" e um intervalo de reconsulta;
4. para cada endereço, constrói um túnel e retransmite o tráfego de terceiros em ambas as direções.

Em outras palavras, através do seu IP e SIM, alguém mais está acessando a internet. É necessário um aviso honesto: a Bitdefender confirmou que a infraestrutura aceita o registro de telefones. Mas um dispositivo de teste recém-registrado não recebeu tarefas de retransmissão, e o servidor de controle, que foi visto ativo, depois foi reclassificado como sinkhole. A retransmissão ativa de tráfego ainda não foi comprovada. No entanto, o mecanismo está pronto e pode ser ativado com um único comando do servidor.

Quais dispositivos estão em risco

• Chipset: MediaTek.
• Modelos mencionados: Doogee S200 X e Cubot KINGKONG X. O proprietário da Cubot em um fórum XDA descreveu o pacote oculto com.android.sys.*, que retornava após a remoção. Segundo uma mensagem, uma atualização oficial do firmware trouxe o malware de volta.
• Falsificações de flagships: nos firmwares aparecem nomes como S25 Ultra, S26 Ultra, S24 Ultra, i17 Pro Max e similares. São clones baratos da Samsung e Apple, que são abundantes em marketplaces como AliExpress.
• Geografia: a maioria das infecções ocorreu no México, França e Itália, seguidas pelos EUA, Alemanha, Brasil, Espanha, e depois uma longa cauda pela África, Sudeste Asiático e Oriente Médio.

Parte dos firmwares está assinada com o certificado CN=ZED, L=ShenZhen, que está associado à Shenzhen Zediel. Os pesquisadores afirmam claramente que isso não prova a participação da empresa. Quem e em que etapa da cadeia de suprimentos alterou o firmware é desconhecido. De acordo com a imprensa de língua espanhola, a Doogee e a Cubot já lançaram patches, mas não explicaram como o código entrou no firmware.

Separadamente, a Bitdefender encontrou no Google Play 13 aplicativos com o mesmo código publicitário. Eles acessam a mesma infraestrutura, mas não têm direitos de sistema. Foram publicados sob pelo menos duas contas de desenvolvedores, fivedev e CPS Developer.

Por que isso é um problema especificamente para a fazenda de telefones

Este já não é o primeiro caso desse tipo. Anteriormente, cadeias semelhantes foram encontradas em rádios automotivos com atualizador comprometido e em set-top boxes Android. Agora, na lista estão smartphones comuns, que são comprados em lotes. Quais são os riscos:

• Tráfego de terceiros no seu IP. Se o módulo de proxy começar a retransmitir tráfego, seu IP móvel aparecerá nos logs de sites ao lado de spam, tentativas de quebra de senha e scraping. O sistema antifraude das plataformas avalia a reputação do endereço, e as contas na fazenda começarão a ser verificadas e banidas sem motivo aparente.
• Consumo de tráfego e bateria. A publicidade invisível e os túneis consomem o pacote móvel e a carga. Em uma fazenda com dezenas de dispositivos, isso representa um custo considerável.
• Contas relacionadas. O malware instala aplicativos sob comando e coleta a impressão digital do dispositivo. Em uma fazenda, onde cada telefone deve parecer uma pessoa distinta, software extra com um servidor de controle comum cria uma conexão desnecessária entre os dispositivos.
• Acesso a SMS e recursos especiais. O módulo do sistema solicita permissões de Acessibilidade, acesso a notificações e SMS, e pode conceder esses direitos a si mesmo. Durante a análise, seu uso não foi notado, mas em um telefone que recebe códigos de confirmação para contas de trabalho, tais permissões são perigosas.
• O reset não ajuda. O componente reside na partição do sistema, portanto, um reset para as configurações de fábrica retorna o telefone ao mesmo estado infectado.

Como verificar seus telefones: checklist

A Bitdefender recomenda se orientar não pelos nomes dos pacotes, mas pelo núcleo estável (libeasy.so, cn.kw.lib.hex, domínio api.weatherlive.world), pois os nomes mudam. Sem um scanner antivírus, isso é difícil, mas uma triagem inicial via ADB leva um minuto por telefone.

1. Ative a depuração USB e conecte o telefone ao computador com adb.
2. Encontre pacotes de sistema suspeitos:
   adb shell pm list packages -s | grep -E "system.lite|sys.prot|sys.gmsprot|sys.bcprot|sys.dts|weiapps|non.szcz"
   Um Android comum não contém esses nomes. Qualquer correspondência é motivo para isolar o dispositivo.
3. Procure aplicativos de cobertura:
   adb shell pm list packages | grep -E "applock|dmstudio.weather|dl.guard.lock|picturetranslate|appicon.diy"
4. Verifique a fonte de instalação do pacote suspeito:
   adb shell dumpsys package com.dmstudio.weather | grep -i installer
   Se estiver listado com.android.vending, e você não instalou o aplicativo, o registro pode ter sido falsificado.
5. Observe as conexões de rede. A porta 6000 é indicada pelo hexadecimal :1770 na coluna de endereço remoto: adb shell cat /proc/net/tcp /proc/net/tcp6 | grep ":1770". Se o acesso a esses arquivos estiver fechado, verifique as conexões no roteador da fazenda.
6. Tente desativar o componente para o usuário: adb shell pm disable-user --user 0 <nome_do_pacote>. Este é o caminho via ADB que a Bitdefender menciona. Em alguns firmwares, pacotes de sistema não podem ser desativados assim, e isso é normal. Isso significa que o dispositivo precisa ser reprogramado com um firmware oficial limpo ou retirado de operação.
7. Verifique o firmware com o fabricante. Se um patch foi lançado, aplique-o e depois repita os passos 2–5: segundo relatos de proprietários, a atualização às vezes trazia o malware de volta.

Nível de rede: feche a saída da fazenda

Mesmo telefones que parecem limpos são úteis para manter atrás de um roteador com lista branca. Permita apenas portas e direções que realmente são necessárias para seus aplicativos: HTTPS para os sites necessários e DNS para seu resolvedor. Proíba tudo o mais. TCP de saída na porta 6000 e acessos a domínios do relatório da Bitdefender não ocorrem em uma operação normal da fazenda, tal tentativa deve ser considerada um sinal de infecção. Os logs do roteador em um dia mostrarão qual dispositivo "liga" para onde não deveria.

Regras de compra para o futuro

• Não compre um "flagship" pelo preço de um dispositivo de baixo custo. O S26 Ultra por um quinto do preço é quase certamente um clone, e os clones são mencionados com mais frequência neste relatório.
• Compre de vendedores oficiais e verifique o modelo no site do fabricante. Isso reduz o risco, mas não garante: Doogee e Cubot se vendem oficialmente.
• Verifique cada novo dispositivo antes de colocá-lo na fazenda usando a checklist acima. Cinco minutos na entrada custam menos do que depois ter que lidar com bans em toda a fazenda.
• Mantenha um registro: modelo, versão do firmware, data da verificação. Quando o próximo relatório sobre um modelo específico for lançado, você saberá em um minuto quantos desses dispositivos você possui.

E se a fazenda for necessária apenas para IP móvel

Muitos mantêm telefones e modems apenas para ter um endereço móvel limpo para multi-contas ou scraping. A montagem caseira oferece controle total, e no material sobre proxies móveis feitos em casa analisamos o que isso implica. Mas junto com o controle, você assume também a cadeia de suprimentos de hardware. O Midnight Mimosa mostra que verificar o firmware de um dispositivo barato é quase impossível. Se você precisa do telefone apenas como uma saída para a internet, pode não precisar manter o hardware e optar por proxies móveis com pagamento por gigabyte: a rotação e a mudança de geolocalização são configuráveis sem a necessidade de compra e reprogramação de dispositivos. Para tarefas onde a rede móvel não é obrigatória, existem endereços residenciais.

Conclusão

O Midnight Mimosa já não é a primeira história sobre módulos de proxy em hardware Android barato. Em 2026, foram set-top boxes, rádios, e agora smartphones. Há uma lição comum: se um dispositivo está suspeitamente barato, alguém pode ter embutido em seu firmware uma maneira de lucrar com ele, e uma dessas maneiras é vender seu IP para tráfego de terceiros. Para a fazenda de telefones, isso significa três coisas: verificar cada dispositivo na entrada, fechar saídas de rede desnecessárias da fazenda e avaliar racionalmente se você realmente precisa do seu próprio hardware para um endereço móvel.