Móviles Android económicos llegan con malware de proxy residencial

Se ha detectado una campaña de malware llamada Midnight Mimosa en móviles Android económicos con chipsets MediaTek. El software malicioso está integrado en el firmware y puede instalar aplicaciones en secreto, cometer fraude publicitario y convertir los teléfonos en proxies residenciales.

Investigadores de Bitdefender afirmaron que la campaña afectó a miles de dispositivos en más de 150 países durante aproximadamente dos años. México, Francia, Italia, Estados Unidos, Alemania, Brasil y España fueron los países con más víctimas. Entre los dispositivos afectados había modelos asociados a fabricantes legítimos, como Doogee S200 X y Cubot KINGKONG X, además de teléfonos que suplantaban productos de Samsung y Apple.

El malware tiene privilegios de sistema, por lo que puede instalar o eliminar aplicaciones, conceder permisos sensibles y ejecutar código descargado de forma remota sin intervención del usuario. Los investigadores identificaron aproximadamente 32 aplicaciones distribuidas mediante su marco, disfrazadas de herramientas como utilidades meteorológicas, gestores de archivos, bloqueadores de aplicaciones, herramientas OCR y editores de audio. Bitdefender indicó que las aplicaciones cargan anuncios legítimos en una ventana invisible para generar impresiones y clics fraudulentos.

Algunos componentes también pueden registrar dispositivos infectados en un servidor de control remoto y retransmitir tráfico de red a través de ellos. Bitdefender confirmó que esta infraestructura proxy estaba operativa y aceptaba registros. Sin embargo, los investigadores dijeron que su dispositivo de prueba no recibió destinos para retransmitir tráfico, por lo que no pudieron confirmar si los atacantes estaban reenviándolo activamente.

Sigue sin estar claro cómo llegó el malware a la cadena de suministro del firmware, quién fue responsable y en qué etapa se manipuló. Algunos usuarios dijeron que los fabricantes publicaron actualizaciones de firmware que resolvieron las infecciones, pero los fabricantes no han explicado públicamente cómo se introdujo el software malicioso en el firmware afectado.