Celulares Android baratos traen malware de fábrica y México encabeza los casos

Miles de celulares Android de bajo costo llegan a manos de sus compradores con un programa malicioso ya instalado, que no se puede desinstalar. La empresa de seguridad Bitdefender lo llamó Midnight Mimosa y lo detectó durante unos dos años en más de 150 países. México es el país con más casos, seguido por Francia, Italia, Estados Unidos, Alemania, Brasil y España, según el informe que la compañía publicó el 8 de octubre.

El programa viene dentro del firmware, el software de base que el fabricante graba en el equipo, en teléfonos de varias marcas construidos con chips de MediaTek. Según Bitdefender, el teléfono ya estaba comprometido antes de que el usuario lo encendiera por primera vez.

Teléfonos que se hacen pasar por otros

La mayoría de los equipos afectados son celulares genéricos, de marca blanca o falsificados, que se venden en grandes tiendas en línea. Muchos llevan nombres que imitan a los modelos de punta de Samsung y Apple, como "S25 Ultra" o "i17 Pro Max", e incluso uno se identificaba con un código de modelo de Samsung. Uno de los equipos que analizaron los investigadores costaba unos 180 dólares, según The Record.

Una vez encendido, el programa funciona como una aplicación del sistema, con permisos que el usuario no puede quitarle. Puede instalar y borrar aplicaciones, darse permisos y descargar y ejecutar código sin pedir autorización. Bitdefender identificó al menos 32 aplicaciones disfrazadas de utilidades, como pronóstico del clima, bloqueo de apps, notas o administración de archivos, que el programa instala en silencio. Esas aplicaciones cargan publicidad real en ventanas invisibles y simulan clics: el anunciante paga por avisos que nadie vio.

El teléfono también puede convertirse en un proxy residencial, un intermediario por el que otros hacen pasar su tráfico de internet como si fuera el del dueño del equipo, y sumarse a una red de dispositivos controlados a distancia (botnet).

Cómo esquiva los controles de Google

Antes de instalar cada aplicación, el programa desactiva por un momento la tienda Google Play y la vuelve a activar cuando termina. Con eso, según Bitdefender, deja ciega a Google Play Protect, la función que revisa las aplicaciones en busca de amenazas, justo durante cada instalación.

Los investigadores encontraron además 13 aplicaciones publicadas en Google Play con el mismo código de fraude publicitario y conectadas a los mismos servidores. Esas no tienen los privilegios del programa de fábrica y cumplen funciones reales, como mostrar el clima o leer códigos QR, pero también podían mostrar anuncios fuera de la aplicación. Google no se pronunció en las coberturas consultadas.

Nadie sabe todavía en qué punto de la cadena de fabricación se agregó el programa. Parte del firmware estaba firmado con certificados a nombre de Shenzhen Zediel, una empresa china, pero Bitdefender aclaró que eso no prueba que la compañía lo haya creado, distribuido o conocido. El responsable puede ser un fabricante por encargo, un integrador de firmware o un intermediario logístico. La infraestructura del programa se conecta con las familias de malware que la empresa rusa Dr.Web llama Android.Phantom y Android.Joker.

Sacarlo no está al alcance del usuario

Borrar el programa exige limpiar el firmware o desactivar el componente con ADB, la herramienta de desarrollo de Android, y según Bitdefender "ninguna de las dos opciones es realista para la mayoría de las personas que tienen estos teléfonos". La empresa sostiene que la solución duradera está en manos de los fabricantes y de las tiendas que venden los equipos afectados.

Para el comprador, la prevención empieza antes de pagar. Según Cybernews, los investigadores advierten que estos equipos no son peligrosos por ser baratos, sino que el riesgo sube cuando una oferta parece demasiado buena para ser verdad: un modelo de última generación a un precio "ridículamente bajo", un vendedor desconocido o una publicación que no dice quién fabricó el teléfono.