Malware pré-instalado infecta celulares Android baratos

Bitdefender diz que um malware vem pré-instalado no firmware de celulares Android baratos, sem precisar de apps ou cliques. Milhares de aparelhos foram detectados em mais de 150 países, inclusive no Brasil.

Uma campanha de malware está infectando celulares Android de baixo custo antes mesmo de os aparelhos chegarem às mãos dos consumidores, segundo relatório divulgado pela empresa de cibersegurança Bitdefender. A ameaça, batizada de Midnight Mimosa, já foi detectada em milhares de dispositivos em mais de 150 países, incluindo o Brasil.

O Midnight Mimosa fica instalado diretamente no firmware — a camada de software responsável pelo funcionamento básico do telefone — e, por isso, opera sem que a vítima precise baixar aplicativos ou clicar em links suspeitos. De acordo com a pesquisa da Bitdefender, divulgada na quinta-feira (8), as infecções foram identificadas principalmente em aparelhos baratos equipados com processadores MediaTek, incluindo modelos de fabricantes menos conhecidos e imitações de smartphones populares.

O malware utiliza permissões avançadas do Android para instalar e remover aplicativos, executar códigos enviados remotamente e acessar determinadas informações do dispositivo. Uma das principais atividades detectadas é a fraude publicitária: o software instala apps que parecem legítimos, como previsões do tempo, gerenciadores de arquivos e bloqueadores de apps, para exibir anúncios escondidos e simular cliques. Na investigação, os especialistas identificaram pelo menos 32 aplicativos diferentes distribuídos pelo sistema malicioso.

Outra funcionalidade permite transformar celulares infectados em proxies residenciais, ou seja, servidores intermediários que encaminham tráfego de internet pela conexão da vítima. A Bitdefender confirmou que a infraestrutura utilizada para essa função estava operacional, mas não conseguiu demonstrar que os criminosos já estavam encaminhando tráfego por meio dos aparelhos analisados. O malware também chega a desativar temporariamente a Play Store antes de instalar outros aplicativos, em tentativa de evitar as verificações do Google Play Protect.

Entre os aparelhos identificados pela Bitdefender estão modelos associados às fabricantes Doogee e Cubot, incluindo o Doogee S200 X e o Cubot KINGKONG X. A pesquisa também encontrou dispositivos falsificados que usam nomes de produtos conhecidos, como Galaxy S25 Ultra, Galaxy S24 Ultra e iPhone 17 Pro Max — o que não significa que os aparelhos originais da Samsung ou da Apple estejam infectados, mas sim que criminosos empregam esses nomes para identificar produtos falsificados vendidos com outras configurações.

Os pesquisadores ainda encontraram componentes do malware em 13 aplicativos distribuídos pela própria Google Play Store, embora essas versões não tivessem as mesmas permissões avançadas dos programas instalados de fábrica. Ainda não se sabe quem está inserindo o código malicioso nos aparelhos ou em qual etapa da cadeia de produção isso acontece.

O principal problema do Midnight Mimosa é a presença do código na partição do sistema, o que dificulta a remoção pelos métodos convencionais do Android. Segundo a Bitdefender, a limpeza pode exigir uma atualização de firmware fornecida pelo fabricante ou procedimentos técnicos avançados, como a desativação de componentes via Android Debug Bridge (ADB). Para reduzir os riscos, consumidores devem priorizar aparelhos de procedência confiável, verificar a autenticidade dos modelos e manter as atualizações de segurança em dia. Quem identificar aplicativos desconhecidos sendo reinstalados automaticamente deve procurar o suporte do fabricante; uma restauração de fábrica pode ser insuficiente para eliminar esse tipo de ameaça.

Gostou? Compartilhe com quem precisa saber: