Un equipo de expertos en ciberseguridad ha puesto el foco en una nueva amenaza digital bautizada como Midnight Mimosa. Se trata de un malware que llega ya instalado en teléfonos Android de bajo costo, incluso antes de que el usuario encienda el dispositivo por primera vez. La infección ocurre a nivel de firmware, lo que le otorga privilegios de sistema y hace prácticamente imposible su eliminación.
Según detalla la firma Bitdefender en un informe, esta campaña ha afectado a miles de equipos fabricados con plataformas MediaTek y comercializados en más de 150 países durante aproximadamente dos años. Las naciones con mayor número de casos son México, Francia e Italia, seguidas de Estados Unidos, Alemania, Brasil y España. A pesar del alcance, los investigadores no han podido señalar a un fabricante o vendedor específico como responsable.
El malware integrado opera con permisos de sistema que le permiten instalar y desinstalar aplicaciones de forma silenciosa, otorgar permisos y cargar código arbitrario de manera remota. Una vez activo, despliega una familia de al menos 32 aplicaciones disfrazadas, entre las que se encuentran apps falsas de bloqueo de aplicaciones, información meteorológica, administrador de archivos y editores de audio.
Los ciberdelincuentes pueden así robar información personal del dispositivo y de las aplicaciones, continuar contaminando el teléfono con otros malwares e incluso incorporar los equipos a botnets que se alquilan para ejecutar ataques de denegación de servicio distribuido (DDoS). Todo esto ocurre sin que el usuario final tenga conocimiento alguno.
Bitdefender también ha señalado que la campaña está diseñada para generar ingresos a través de dos vías principales:
- Las aplicaciones falsas cargan anuncios ocultos y producen clics para realizar fraude publicitario.
- Los ataques DDoS también representan una fuente de ganancias para los atacantes.
Además, los expertos identificaron 13 aplicaciones en Google Play que emplean el mismo código de fraude publicitario que Midnight Mimosa y se conectan a los mismos servidores de control del malware preinstalado, lo que las vincula directamente con esta campaña. El malware instala algunas de estas apps de forma silenciosa, alcanzando a los usuarios por dos rutas distintas.
Durante el proceso de infección, el malware puede desactivar Google Play Store justo antes de ejecutar la instalación maliciosa —presumiblemente para evadir la detección de Play Protect— y luego la reactiva para no levantar sospechas.
Los investigadores de Bitdefender iniciaron el análisis gracias a su tecnología de Detección de Anomalías en Aplicaciones, disponible en Bitdefender Mobile Security, que identificó un paquete con nombre y apariencia de componente del sistema, pero que en realidad no se comporta como tal: com.android.system.lite.
Aunque algunos de los smartphones afectados tienen firmware firmado mediante certificados vinculados a un fabricante con sede en Shenzhen (China), aún no se ha podido determinar en qué punto de la cadena de suministro se introduce el malware ni a quién atribuir la campaña.
Fuente: Infobae