A busca por smartphones mais acessíveis pode esconder riscos significativos para a segurança digital dos usuários. Uma recente investigação da empresa de segurança cibernética Bitdefender revelou a presença de um software malicioso, batizado de Midnight Mimosa, que está sendo encontrado pré-instalado em milhares de celulares Android falsificados e de baixo custo, distribuídos globalmente. Este malware opera de forma sorrateira, comprometendo a privacidade e a segurança dos dispositivos sem que o usuário perceba.

O que é o Midnight Mimosa e como ele age

O Midnight Mimosa é um tipo de malware que vem embutido no sistema operacional dos celulares antes mesmo de serem vendidos. A Bitdefender, ao investigar o problema com seu aplicativo Bitdefender Mobile Security, identificou um componente misterioso chamado “android.system.lite” nos telefones afetados. Este componente, que parecia inativo inicialmente, estava pré-instalado e não podia ser removido pelos usuários. Quando ativado, ele silenciosamente instalava e removia diversos outros programas maliciosos, que a empresa de segurança chamou de “cargas úteis”, nos mesmos dispositivos.

Leia também:

• • Anthropic endurece regras de uso do Claude e proíbe abuso persistente contra IA
  • Kit Telesin Master Grip promete zoom óptico para iPhone, mas a experiência de uso levanta ressalvas
  • OAB-SP processa startup e exige supervisão humana em serviços jurídicos com IA

Este malware se aproveita de privilégios profundos no sistema para instalar ou remover aplicativos e executar códigos maliciosos. Isso significa que os operadores do Midnight Mimosa podem controlar o aparelho à distância, instalando e desinstalando apps conforme suas necessidades, inclusive transformando o celular em parte de grandes redes de computadores controladas remotamente, conhecidas como botnets.

Dispositivos afetados e a dimensão do problema

A Bitdefender detectou o malware em milhares de dispositivos únicos, distribuídos por mais de 150 países, ao longo de um período de dois anos. Os países com maior número de ocorrências foram México, França, Itália, EUA e Alemanha. Muitos dos modelos afetados são dispositivos falsificados que utilizam nomes de produtos conhecidos, como “i17 Pro Max”, “S25 Ultra” e “Note 18 Ultra”, sem qualquer relação com os fabricantes originais.

Além dos aparelhos falsificados, a empresa de segurança também encontrou o malware em dispositivos de marcas chinesas menos conhecidas, como Cubot e Doogee, incluindo modelos como Kingkong X, S200 X e Kingkong 9. Pelo menos alguns dos celulares comprometidos utilizavam processadores da MediaTek.

As intenções por trás do malware

A Bitdefender suspeita que o malware pré-instalado tem dois objetivos principais. O primeiro é a realização de “fraude de cliques” (click fraud). Neste esquema, o malware direciona downloads de aplicativos que carregam anúncios legítimos. Ao carregar esses anúncios continuamente de forma artificial, os desenvolvedores dos apps recebem pagamentos indevidos, já que as visualizações não são geradas por usuários reais.

O segundo objetivo é transformar os celulares Android em serviços de proxy residenciais para botnets. Isso significa que o aparelho do usuário pode ser usado para rotear o tráfego de internet de cibercriminosos, escondendo a origem real de suas atividades maliciosas. Desenvolvedores de má-fé vendem acesso a essas botnets, permitindo que criminosos virtuais realizem ataques ou atividades ilegais usando a conexão e o endereço IP de um usuário comum. As “cargas úteis” instaladas pelo malware incluíam pelo menos 32 aplicativos disfarçados, como falsos bloqueadores de aplicativos (AppLock), aplicativos de clima, gerenciadores de arquivos e editores de áudio.

A difícil remoção e o elo na cadeia de suprimentos

A remoção do Midnight Mimosa não é uma tarefa simples para os proprietários dos telefones afetados. A Bitdefender afirma que a limpeza do dispositivo exige uma intervenção no nível do firmware (o software básico do aparelho) ou a desativação do componente via ADB (Android Debug Bridge), procedimentos que não são realistas para a maioria dos usuários. A solução duradoura, segundo a empresa, deve vir dos fornecedores e dos mercados que comercializam esses aparelhos com o firmware comprometido.

O malware foi assinado com um certificado de desenvolvedor chinês chamado “Shenzhen Zediel”, que parece estar ligado à Zedi Technology. Esta empresa desenvolve placas-mãe para processadores da fornecedora de semicondutores chinesa Rockchip. No entanto, a Bitdefender ressalta que não está claro como esses certificados foram parar nos telefones, nem se o proprietário do certificado estava envolvido ou ciente da implantação do malware. É possível que outra empresa na cadeia de suprimentos — como o fabricante do dispositivo, o integrador do firmware ou um parceiro de logística — tenha instalado o malware usando o certificado da Zedi.

A descoberta da Bitdefender não é um caso isolado. Outra empresa de segurança, a Kaspersky, também já havia identificado malware pré-instalado em celulares e tablets Android de baixo custo. Além disso, a Bitdefender encontrou fraudes de cliques associadas a malware em 13 aplicativos disponíveis na Google Play Store. Embora esses apps ofereçam alguma funcionalidade, eles também exibem anúncios fora do aplicativo, por vezes mesmo quando o usuário não está utilizando o telefone. Alguns desses aplicativos permanecem disponíveis na loja.