Midnight Mimosa Androide el malware es una amenaza residente en el firmware que se ha encontrado en algunos dispositivos Android de bajo coste que utilizan plataformas MediaTek. Bitdefender divulgó la campaña el 8 de octubre de 2026, después de que la telemetría la relacionara con miles de dispositivos en más de 150 países. Como el componente principal es una aplicación del sistema con privilegios, desinstalar aplicaciones sospechosas o realizar un restablecimiento de fábrica puede no eliminarlo.
¿Qué es el malware Android Midnight Mimosa?
El malware Android Midnight Mimosa es una campaña de malware de la cadena de suministro en la que se integró una aplicación del sistema firmada por la plataforma en algunos firmwares de Android. Según el análisis de Bitdefender de 2026, el componente puede instalar o eliminar paquetes, conceder permisos y cargar código suministrado de forma remota sin la aprobación que normalmente requiere un usuario de Android.
La diferencia es importante. Una aplicación maliciosa convencional llega después de configurar el teléfono, normalmente mediante una descarga, un enlace engañoso o una tienda de aplicaciones de terceros. El componente principal de Midnight Mimosa comienza con privilegios del sistema porque reside dentro de la imagen de software suministrada con un dispositivo afectado.
Bitdefender observó nombres de paquetes como com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot y com.android.sys.bcprot en 2026. Esos nombres no son indicadores definitivos: los investigadores advirtieron de que los nombres de los paquetes y las compilaciones cambian.
En la investigación de Bitdefender de 2026 se identificaron al menos 32 aplicaciones señuelo con cargas maliciosas. Se hacían pasar por herramientas corrientes de bloqueo de aplicaciones, meteorología, gestión de archivos, reconocimiento óptico de caracteres, iconos y edición de audio. Este camuflaje hace que una inspección superficial no sea fiable, especialmente cuando el propio instalador no aparece en el cajón de aplicaciones habitual.
¿Por qué es más difícil eliminar el malware del firmware que una aplicación maliciosa?
El malware Android Midnight Mimosa es más difícil de eliminar porque su componente raíz ocupa la partición protegida del sistema en lugar del almacenamiento normal del usuario. La guía de Bitdefender de 2026 indica que la corrección requiere un firmware de sustitución de confianza o deshabilitar el componente mediante Android Debug Bridge, comúnmente denominado ADB; eliminar una carga instalada deja atrás el instalador con privilegios.
Un restablecimiento de fábrica estándar de Android borra las cuentas, las aplicaciones descargadas y otros datos del usuario. La documentación de ayuda de Android de Google de 2026 explica que un restablecimiento no sustituye el firmware del fabricante, por lo que no se debe dar por hecho que elimina el código ya integrado en la imagen del sistema.
La diferencia práctica es la persistencia. Supongamos que eliminas una aplicación meteorológica señuelo y el componente del sistema instala otra más adelante: has eliminado una carga maliciosa, pero has reducido en cero el número de infecciones subyacentes. BleepingComputer informó en octubre de 2026 de que algunos usuarios vieron reaparecer paquetes sospechosos después de eliminarlos, aunque ningún fabricante ofreció una explicación pública junto a esos informes.
Android Verified Boot tampoco resuelve la cuestión. La documentación de Android Código abierto Project de 2026 indica que Verified Boot comprueba el código frente a la raíz de confianza configurada por el fabricante del equipo original. Un firmware correctamente firmado puede superar esa comprobación aunque hubiera un componente no deseado cuando se firmó la imagen.
Es fácil pasar por alto esa limitación. Verified Boot puede establecer la integridad con respecto a una autoridad de firma configurada; no puede determinar de forma independiente que el firmware firmado fuera benigno. La procedencia del firmware y la fiabilidad del canal de actualización siguen siendo cuestiones independientes.
¿Qué hace Midnight Mimosa en un teléfono infectado?
El malware Android Midnight Mimosa monetiza principalmente los teléfonos afectados mediante actividad publicitaria fraudulenta y su inscripción como nodos proxy residenciales. Bitdefender informó en 2026 de que el habilitador con privilegios podía desplegar cargas maliciosas silenciosamente, conceder permisos y cargar código, lo que proporcionaba a los operadores de la campaña un control considerablemente mayor que el que recibe una aplicación distribuida normalmente a través de Play.
Los módulos publicitarios generaban impresiones o clics artificiales. La inscripción como proxy podía hacer que un dispositivo estuviera disponible como punto de salida a Internet, permitiendo que la actividad remota pareciera proceder de la conexión residencial del propietario del teléfono.
Hay un límite probatorio importante. Bitdefender probó un módulo proxy que utilizaba EnLoaderLib versión 1.0.6 en 2026 e inscribió correctamente un nodo activo, pero el servidor de comandos no devolvió ningún objetivo de retransmisión. Por tanto, los investigadores no confirmaron que el tráfico se retransmitiera realmente durante esa prueba.
El software analizado en 2026 también incluía funciones de accesibilidad, acceso a notificaciones y SMS. Bitdefender no observó que esas funciones se utilizaran durante su análisis, por lo que afirmar que la campaña leyó mensajes de forma definitiva o abusó de la accesibilidad iría más allá de las pruebas publicadas.
Los investigadores informaron además de que el habilitador desactivó temporalmente Google Play Store, instaló cargas maliciosas y volvió a activar la tienda. Bitdefender interpretó esa secuencia en octubre de 2026 como un probable intento de eludir Google Play Protect, no como una prueba de que el propio Play Protect hubiera sido comprometido.
¿Qué teléfonos Android están afectados?
A fecha de 13 de octubre de 2026, no había disponible públicamente una lista completa de los dispositivos afectados por el malware Android Midnight Mimosa. Bitdefender relacionó la campaña con miles de dispositivos únicos en más de 150 países durante 2024 y 2025, con las mayores concentraciones observadas en México, Francia e Italia.
Estados Unidos, Alemania, Brasil y España siguieron a esas concentraciones principales. La telemetría geográfica muestra dónde aparecieron las detecciones; no establece dónde se modificó el firmware ni dónde se vendió cada dispositivo afectado.
| Observación | Cifra publicada | Interpretación |
|---|---|---|
| Alcance geográfico | Más de 150 países en 2024–2025 | Amplia distribución, no un mapa completo de ventas |
| Población afectada | Miles de dispositivos únicos en 2024–2025 | Telemetría confirmada, no una estimación total de infecciones |
| Cargas maliciosas señuelo | Al menos 32 aplicaciones identificadas en 2026 | Pueden aparecer múltiples formas de carga maliciosa |
| Material de detección publicado | 120 hashes de muestra MD5 en 2026 | Datos útiles para la investigación, no una lista negra de dispositivos |
| Aplicaciones relacionadas de Google Play | 13 aplicaciones identificadas en 2026 | Los marcadores de la familia estaban relacionados, pero las aplicaciones carecían de privilegios de nivel de firmware |
Bitdefender mencionó telemetría asociada a Doogee S200 X, Cubot KINGKONG X y cadenas de modelos falsificados con estilo de dispositivos insignia en 2026. Esas observaciones no demuestran que todas las unidades, versiones de firmware o dispositivos vendidos actualmente con esos nombres estén infectados. Tratar los nombres de los modelos como una lista negra sería inexacto e injusto.
El punto exacto de inserción también sigue siendo desconocido. Bitdefender mencionó a un fabricante de diseño original, un integrador de firmware, un socio logístico u otro intermediario como posibilidades en su actualización del 9 de octubre de 2026. Algunos certificados del firmware llevaban el nombre Shenzhen Zediel, pero los investigadores dijeron explícitamente que ese detalle no demuestra que la empresa creara, distribuyera o conociera el malware.
¿Cómo puedes comprobar y proteger un teléfono o una flota empresarial?
Comprobar si existe el malware Android Midnight Mimosa requiere algo más que buscar un único nombre de paquete. En 2026, los compradores y administradores de flotas deberían verificar la certificación de Play Protect, registrar el modelo exacto y la huella de compilación, confirmar el origen del firmware y el canal de actualización, y comparar los paquetes del sistema y las identidades de firma con una imagen del fabricante que se sepa que es legítima.
Empieza por la certificación. Abre Google Play Store, selecciona Ajustes y, después, Acerca de; a continuación, revisa la entrada de certificación de Play Protect. La guía de Google de 2026 indica que la certificación significa que un dispositivo ha superado las pruebas de compatibilidad de Android, pero no demuestra que todos los componentes del firmware sean benignos.
Utiliza las siguientes comprobaciones en orden y conserva las pruebas antes de actualizar o retirar un dispositivo sospechoso:
- Registra el fabricante, el modelo exacto, la versión de Android, la huella de compilación y el nivel del parche de seguridad de Android que muestra el dispositivo en 2026.
- Confirma dónde se compró el teléfono y si sus actualizaciones llegan a través de un canal de proveedor autorizado, en lugar de un sitio de descargas no identificado.
- Comprueba la certificación de Google Play Protect en Play Store → Ajustes → Información, teniendo en cuenta las limitaciones de la certificación.
- Investiga los paquetes del sistema no explicados, las instalaciones silenciosas de aplicaciones y las aplicaciones que reaparecen después de eliminarlas. No te bases únicamente en el nombre de un paquete.
- Compara los paquetes del sistema instalados y sus identidades de firma con una unidad fiable conocida o con una imagen oficial del firmware del proveedor.
- En flotas gestionadas, aísla los dispositivos sospechosos, conserva los registros y los indicadores, y obtén un firmware de sustitución fiable o ayuda cualificada de respuesta ante incidentes antes de volver a conectarlos.
Android Enterprise permite gestionar flotas mediante políticas y ofrece un rol específico de Mobile Threat Defense, según la documentación para desarrolladores de Google de 2026. Las organizaciones deben limitar las adquisiciones a vendedores trazables, exigir una inscripción gestionada, restringir las instalaciones a aplicaciones aprobadas y desplegar detección de amenazas móviles.
Sinceramente, el teléfono desconocido más barato solo tiene sentido cuando se pueden verificar su vendedor, el archivo de firmware y su política de actualizaciones. Los lectores que comparen móviles económicos nuevos y reacondicionados en 2026 deberían tener en cuenta la procedencia al comprar; un modelo reacondicionado con soporte puede ser la opción más segura.
Mantén también actualizados los parches de seguridad. Nuestra cobertura de la actualización de Android de septiembre de 2026 muestra por qué es importante que la entrega de actualizaciones esté documentada, aunque el nivel de un parche por sí solo no puede certificar la procedencia de una imagen completa del proveedor. Para ver otro ejemplo de compromiso móvil que elude las expectativas normales de los usuarios, consulta la información sobre el gusano de llamadas de WeChat sin interacción.
Si confirmas un componente de firmware sospechoso, desinstalarlo normalmente no es suficiente. Las opciones de reparación de Bitdefender en 2026 son instalar un firmware de sustitución fiable o desactivar el componente mediante ADB. Los cambios realizados con ADB pueden desactivar el servicio del sistema equivocado y una actualización puede revertirlos, por lo que los usuarios no técnicos deben solicitar la imagen documentada del fabricante o asistencia profesional.
Preguntas frecuentes sobre el malware de Android Midnight Mimosa
¿Un restablecimiento de fábrica eliminará Midnight Mimosa?
No debe darse por hecho que un restablecimiento de fábrica estándar de Android elimine Midnight Mimosa, ya que el restablecimiento borra los datos del usuario en lugar de sustituir el firmware del fabricante. Cuando el componente privilegiado reside en la imagen del sistema, se requiere un firmware de sustitución fiable o una corrección específica.
¿Puede Google Play Protect detectar firmware infectado?
Google Play Protect puede analizar aplicaciones y advertir sobre software malicioso, pero la certificación de Play Protect no garantiza que todos los componentes del firmware del proveedor sean benignos. Bitdefender informó en 2026 de que el habilitador Midnight Mimosa parecía desactivar temporalmente Google Play Store durante la instalación de la carga útil.
¿Demuestra el nombre de un modelo que aparece en la lista que mi teléfono está infectado?
Un nombre de modelo incluido en una lista no demuestra que un teléfono contenga el malware Midnight Mimosa para Android. Bitdefender advirtió en 2026 que las referencias de telemetría a determinados modelos e identificadores falsificados no deben aplicarse a todas las unidades o versiones de firmware que lleven esos nombres.
¿Midnight Mimosa está robando mensajes SMS?
Bitdefender encontró capacidades de SMS, acceso a notificaciones y accesibilidad en el software analizado en 2026, pero los investigadores no observaron que se utilizaran dichas capacidades. Las pruebas publicadas respaldan un posible acceso, no una afirmación confirmada de que se produjera un robo de SMS durante las pruebas.
¿Puede un antivirus eliminar malware de Android residente en el firmware?
El software de seguridad móvil puede detectar indicadores o cargas útiles, pero la eliminación normal de aplicaciones no puede borrar un componente privilegiado integrado en la partición del sistema. La remediación de Midnight Mimosa requiere sustituir el firmware por una versión de confianza o deshabilitar cuidadosamente el componente raíz mediante ADB.