Midnight Mimosa es un malware que infecta teléfonos Android antes incluso de que los usuarios los enciendan. El software malicioso se integra directamente en el firmware del dispositivo, lo que permite a los atacantes obtener acceso sin necesidad de enlaces de phishing, descargas maliciosas o permisos de aplicaciones. Esta campaña afecta principalmente a dispositivos Android de bajo costo de diversas marcas.

Midnight Mimosa está llegando a los teléfonos Android antes incluso de que sus propietarios presionen el botón de encendido. El malware llega dentro del firmware del dispositivo, otorgando a sus operadores un punto de apoyo oculto que no depende de una descarga maliciosa, un enlace de phishing o de que alguien acepte una solicitud de permisos de una aplicación.

La campaña afecta a dispositivos Android de bajo coste de varias marcas basadas en plataformas MediaTek. Su propósito principal parece ser ganar dinero a través de actividades de publicidad falsa y servicios de proxy residenciales, mientras que su acceso al sistema también permite a los operadores instalar aplicaciones, eliminarlas y cargar código nuevo sin preguntarte.

Investigadores de Bitdefender identificaron a Midnight Mimosa después de que su tecnología de Detección de Anomalías en Aplicaciones señalara un paquete del sistema que se comportaba de manera distinta a la de un componente normal de Android.

El informe detallado de investigación de malware de Bitdefender, publicado el 8 de octubre y actualizado el 9 de octubre, describe miles de dispositivos afectados en más de 150 países durante una ventana de observación de aproximadamente dos años.

México, Francia e Italia lideraron la distribución observada, seguidos de Estados Unidos, Alemania, Brasil y España. Estos hallazgos reflejan la visibilidad de Bitdefender, no un recuento global completo de infecciones.

Algunos teléfonos también reportaron nombres de modelos insignia falsificados, lo que significa que sus etiquetas de modelo no pueden identificar de manera confiable el hardware o su fabricante real.

Midnight Mimosa infecta teléfonos Android

La investigación comenzó con un componente oculto etiquetado como “System”. Firmado con un certificado de plataforma y ejecutándose bajo el usuario del sistema de Android, podía instalar paquetes y otorgar permisos silenciosamente.

A diferencia de una aplicación descargada ordinaria, este componente del firmware no podía eliminarse a través de los controles normales de desinstalación del teléfono. Este método de entrega sitúa el problema dentro de la cadena de suministro del dispositivo en lugar de responsabilizarte a ti como propietario.

Casos anteriores que involucran malware de firmware de Android preinstalado muestran por qué revisar solo las aplicaciones descargadas no puede proteger un teléfono que ya contiene un componente del sistema confiable pero dañino cuando sale del vendedor.

El malware oculta gran parte de su código en una biblioteca nativa. Durante el inicio, esa biblioteca descifra un APK incrustado utilizando RC4 y carga un marco (framework) de Java oculto.

Posteriormente, el framework descarga más módulos DEX y JAR, lo que permite a los operadores cambiar el comportamiento del teléfono después de la compra. Esos módulos gestionan clics en anuncios falsos, la instalación de aplicaciones y descargas adicionales.

Algunos archivos JAR se almacenan con una extensión de archivo de objeto, mientras que los módulos descargables se sirven como archivos PNG. Estas capas hacen que el APK original sea una guía deficiente de lo que el malware acabará haciendo en un dispositivo en funcionamiento.

Anuncios ocultos y tráfico de proxy

Bitdefender encontró al menos 32 aplicaciones disfrazadas en la operación general, incluyendo herramientas meteorológicas, bloqueadores de aplicaciones, gestores de archivos y escáneres de texto.

El componente del sistema instala y elimina repetidamente estas cargas útiles (payloads). Esa rotación cambia el inventario de aplicaciones visibles mientras mantiene la infección principal del firmware en su lugar.

Los ingresos publicitarios llegan a través de aplicaciones de cobertura de apariencia ordinaria que llevan un SDK publicitario legítimo. La actividad oculta crea impresiones y clics sin la intervención real del usuario, con límites de tiempo destinados a hacer que el tráfico parezca natural.

La investigación relacionada sobre el fraude de clics fantasma de Android ofrece un contexto útil sobre herramientas e infraestructuras similares identificadas en esta investigación.

Una carga útil independiente de bloqueo de aplicaciones puede inscribir el teléfono como un proxy residencial, permitiendo que un operador remoto encamine el tráfico a través de tu conexión.

Investigaciones anteriores sobre el malware de proxy Android BADBOX ilustran el riesgo más amplio de que los dispositivos de consumo se conviertan en relés de red. Sin embargo, Bitdefender no observó que se redirigiera tráfico durante su prueba de nodo fresco.

Antes de instalar las cargas útiles, el malware desactiva el paquete de Google Play Store, aparentemente para evitar la detección de Play Protect, y luego lo vuelve a activar.

También restaura la tienda cuando tú estás presente. Algunas muestras registran falsamente a Google Play como su instalador, a pesar de carecer del bloque de firma de distribución de Google.

Los investigadores también encontraron el mismo código de fraude publicitario en 13 aplicaciones de Google Play. Esas versiones de la tienda carecían de los poderes del sistema del malware preinstalado, pero seguían mostrando anuncios fuera de su interfaz normal.

Informes previos sobre el fraude publicitario en Google Play muestran por qué la distribución oficial por sí sola no garantiza un comportamiento inofensivo. El componente del sistema solicita acceso sensible relacionado con la Accesibilidad, las notificaciones y los SMS.

Los investigadores observaron la activación y desactivación repetida del acceso a la Accesibilidad y a las Notificaciones, pero no vieron que esas capacidades se utilizaran para robos. Su presencia, combinada con la carga de código remoto, deja espacio para que los operadores expandan la campaña más allá del fraude publicitario.

Algunos firmwares afectados utilizaban certificados con el nombre de Shenzhen Zediel, pero Bitdefender no estableció que la empresa creara, aprobara o distribuyera a sabiendas el malware.

Se desconoce el punto exacto por el cual entró en la cadena de suministro. Una limpieza duradera requiere un trabajo a nivel de firmware; los métodos normales de desinstalación no pueden eliminar el componente raíz.

Por lo tanto, los proveedores y vendedores tienen un papel central en la reparación de los dispositivos afectados. Crucialmente, el informe corrige un hallazgo de red: una dirección descrita inicialmente como un servidor de comando de proxy era en realidad un sinkhole, no infraestructura confirmada del atacante.

Indicadores de compromiso (IoCs)

Indicadores de red, archivo y detección

Tipo	Indicador	Contexto
Endpoint de control	api.weatherlive[.]world/br_upgrade/upgradeV2/getConfigs	Canal de control y configuración de módulos cifrados.
Endpoint de telemetría	api.weatherlive[.]world/odborwer_dot/cm	Telemetría del dispositivo y eventos publicitarios fabricados.
Host de descarga	oss.showtimetool[.]com	Entrega de módulos y activos; payloads servidos con extensiones .png.
Endpoint de reporte	39.96.8.180:9008/ssc/rprt/bug	Endpoint de reporte de errores del framework DX/S1.
Endpoint de reporte	120.78.215.151:80/api/bugLog	Endpoint de reporte de fallos del framework incrustado.
Patrón de host proxy	{productId}.apple.<domain>:6000	Construcción del host de control del proxyware.
Dominio proxy	0aa0cf0637d66c0d[.]com	Dominio en la rotación de hosts del proxyware.
Dominio proxy	aa86a52a98162b7d[.]com	Dominio en la rotación de hosts del proxyware.
Dominio proxy	442fe7151fb1e9b5[.]com	Dominio en la rotación de hosts del proxyware.
Dominio proxy	v46wd6uramzkmeeo[.]in	Dominio en la rotación de hosts del proxyware.
Infraestructura relacionada	cgb.jingongbuxiao[.]com	Indicador compartido citado en el análisis de linaje del operador Android.Phantom.
Endpoint relacionado	5.ahd187[.]com/thirdsdk/flowcashpack/	Infraestructura de descarga compartida relacionada con Android.Phantom.
Dominio histórico relacionado	zhuifengzhe[.]top	Infraestructura que conecta investigaciones previas de Joker y Phantom.
Host relacionado	fyapi.freeflightbird[.]com	Host enumerado en el linaje Phantom/Click.
Host relacionado	newsadapi.zhuifengzhe[.]top	Host enumerado en el linaje Phantom/Click.
Biblioteca nativa	libeasy.so	Núcleo nativo que descifra y suelta el framework oculto.
MD5 de biblioteca nativa	a8847b68428fde206b6dff8001051f92	MD5 publicado para libeasy.so.
Biblioteca nativa renombrada	libunionprt.so	Nombre del núcleo nativo utilizado por una variante confirmada.
Namespace del framework	cn.kw.lib.hex	Framework oculto soltado por el núcleo nativo.
Cargador/archivos	cn.kw.lib.dx.DxFactory; kwlib.jar; kwlib.next	Artefactos de actualización y carga remota del framework.
Archivos de plugin	files/plg/<md5-id>/magic.o; magic.o.info	Plugin JAR y su descriptor; el valor entre corchetes es variable.
Payload empaquetado	assets/mediaapp-release.apk	APK de socio incrustado dentro de los plugins de etapa tres.
Clases de plugin	com.wz.sdk.DxFactory; com.earnsdk.lib.DxFactory; com.gogo.third.lib.DxFactory	Módulos de fraude publicitario e instalación silenciosa.
Marcadores de payload	EnLoaderLib v1.0.6; com.ctr.cbd	Cargador de proxyware y módulo de fraude publicitario independiente.
Marcador de servicio	com.media.am.intent.action.BIND_SERVICE; MyDataService	Comunicación entre aplicaciones de cobertura en la malla publicitaria.
Marcador de fuente de instalación	Instalador registrado como com.android.vending, sin "frosting" de Play	Procedencia falsificada de Google Play en muestras identificadas.
Marcador de contexto de dispositivo	Prefijo MAC de Wi-Fi A0:53:94	Asignación asociada a Zediel; no es prueba de infección por sí sola.
Marcador de certificado parcial	0105bc4c…	Prefijo de certificado de plataforma publicado, no es un hash completo ni prueba de implicación de la empresa.
Cifrado de strings	AES-128-CFB; clave derivada con MD5("aGV4QCFRQFcjRQ=="); IV 0102030405060708	Cifrado de strings del framework oculto.
Cifrado de strings	AES-128-CFB; clave derivada con MD5("dHhAZXhAc2Vy")	Cifrado de strings del habilitador.
Cifrado de strings	AES/CFB; clave derivada con MD5("ZHhAIVFAVyNF")	Cifrado de strings del plugin de etapa tres.

Hallazgo de infraestructura corregido

Indicador	Estado corregido	Nota de manejo
85.17.70.38:6000	Sinkhole	Bitdefender describió inicialmente esta dirección como un C2 de proxyware activo, luego corrigió ese hallazgo. No lo etiquetes como infraestructura confirmada controlada por el atacante.

Conjunto completo de muestras publicadas: 120 hashes MD5

Paquete Android	Hashes MD5 publicados
com.android.browser	05ae89e761a890fa24f80f4be7263651 1da42505f1c83959c7f901f5139a158e a147cd8f72aadfcf78f7723db6813e86 f456f0c6b89bd3d5124699d43971d094
com.android.deskclock	2c77653b889dfccd649b82446f8c0d1b 5d29e9b24708c3ec36d1d59036124838 998e9010e5dfc4e4645f5572cbbe5b53 b3a4405d1b8d43545d07b10581008d32
com.android.gallery3d	0377ca97ac0ca35f9134052fede67a81 0b0d8e995e6ff24d4e9d00417446c25e 1414d4ef2d1191080abc59a407dcb6c5 345057421c7d9ac2b671c47449f35030 36deebfcda4012d18706cd170c1edf1f 37f18a20b9cf32e6f07450e903eaad7c 4507363415e7dc6d2cab14eeed137f6c 512a6db4a22244272826f39da020fb44 5b3a49938f455d1197736971c4c07228 6aca76699ec0bb8e51372d5c68c8359b 815b910f1efc95f38ba0c5b12c4f2129 c75ec7f3bcbc879aae9a21ad544d3232 d9fc6b2cd5eaa3929207f1029663d947 e51c11442a529dcd06dc7c8e45974ec2 e9b91e1d94bb3ff9a1c00b1c13eb7960
com.android.settings	be22c91b4578ac2357a16133615df335
com.android.sys.bcprot	d5d88214170875386ab855172f881e51 dce5b0dc0e7d7059b5ab8384a7c24ec4
com.android.sys.dts	61aac6a98abd6dcff0dc41bb88159786
com.android.sys.gmsprot	2b784622422f4280e0b3e38b30dd87bc
com.android.sys.prot	2b7f1a7d5f5515c05d0c8e3857155ae2 3d3358b1057b1bfbd7e60577d8a31e0c 7400c34f7c6f866499029f5e759f58bd d4ceb05682ecd60f4ebb4e76e02fcf7d
com.android.system.lite	60bc23d3d453f258e2c4ca421cd086a9 b862681953e945439167a736ba4cd41b
com.android.weapps	ed1a6bed83899952b464c27aef9752cc
com.android.weiapps	0903d7fd3e1d4a599a7eb3c5d356779b
com.mb.applock.a02	a57a1ba15364dfb35d334f644d7049e8
com.mb.applock.ea	cde0490e11db8ad54737c1df59ec658b
com.mobile.applock.en	08d231c6a5303e543eb60d4181f6a4ea 7f7747575980098bdc98e7b7aa362697 d3faec4f013c4a1e84a1d681448312c0
com.mobile.applock.tg	e75e183027bf897eda6447366c7acd01
com.mobile.applock.wg	20108557cacd24263e7e611afc327801 aac942aaf6ec0773cbac87fde4a6b284 cf20de9d9ddc952bb2265002d26a916f f602230f54507cbddf5ef3014737d768
com.mobile.applock.wt	079298a7a506b376def4f4ff9a250672 20cefb2c667f945d482daded7e698eea 254bc5f6f81de1f3c47534e6febaf023 31b3280f1c0836c39c470932cf6c3e6f 3b35d3c5667136134b20a8411803c97d 3bc159537c909fa86bcc55eda127b5aa 42a9f64e75911c167ec7a163e8b24920 4a171f62d1bab01827b06ae73d4caafa 66c6512b9a73425aba40c8bfa95d23a0 6df909898f5f1394e78508d1152fab38 6ee2be3e5558085b532dacc8db61f3e9 6eea0568d5cc776ae03e09149cec3cd8 765d3ce85a6393d05973c4cfa7738116 90e0d27d808105167fdaa3a22b918217 9e7b34e63d8d38e37667f88a945ae69a a02f28387527abe90d73d2879f671972 abe12db77a62ecb99d6ab5dc4fff18c7 de66cac88f156c3227749e03bdf7cf54 e6650dc6721aaa27f8a289ff92e613ff e7c56b4f580da53cd0e4f11d1a11e402
com.mobile.applock.xk1	2de346602433cdd1668f36b2e9db0be1
appicon.diy.tools.prop	af16072864ae0f9d755f8cf00fded359 e974cf4cc5d55cddc04f026dd3ea72b8 ac8957a474f8aa812c7b233aafde4723
com.android.non.szcz	250205ee4b8de59e60c745856f439608
com.arabmusic.tap.aghani_tamerhosny	af7f1eef22bf5ee3d0a394f53ba7e1b8 838dc8fcde1b28171e404ece1cfcde44
com.awht.zfip.zfyg	7322d8a65a56a7ab09f4d526cb343e3d
com.cool.weather.yl	0b8d3cd264c191f4884a25d0cc5318b5 33b2d3ec9a35cfb0b5a5d7b24ce4140e 3bb270d4927e2a8385793d9084a92fd3 4e46549122c0236307c5eef8891466f5 642d84ed5660407b972f1df642acb192 9a3d04aa36654b5c4b21edd22e46f92d b7d0d5ae09b0d2d2f999c1087c450456 cdfcc848e16660d607aba6ecf24567f4 f0b7b1c940ebcee97eb68f528682fc50
com.dl.guard.lock	1150da1af88729e54a34b8da5a2741c7 36f9e8cf47a28f9803fba427cf02a25c 6739fe083cfa8dec9b4f989ccba0e99e ca7e2d265fc35aede432c4636a2cf4cb fcb9f38cc687fc8a4637e0acdf91ab66 c8ea2a7c1f52c4c2474475c28373ee27
com.energy.appstore	c55c9d7e12cc273b812ceffca8f62d4b
com.fb.w.weather	9a46098de785ae732e5fced55a2f3063 d145b14b9cc15799485f2592b2c16d9a
com.fe2bu1.wh	0a26a9d5f7ab91cb5eed852cf83ef078 294ab3f586d76772ae89add417cf6324 a13af0174bc211709e8b73bf60492a17 b974ef4106af6b932df352563a9b8b3c e9ec6d7b50c1e54cd523283b9de55e10
com.message.recovery.prorestore	5400ffac371c5e5c9b7f3705ce9faca5 92f2fd8bcccc8ec4ffa64c7f6b3b9b8d ab8d6be686ca9413e27a11e85f9cef1a
com.notemaster.record.mark	879168159c155758dbfd7a76e8f21548 b6c5f7dfaf9d47cd67380a48df5e1731 cb19dbf279a3488aec76c17e8e122c14 fc812444baa071f5141ddad812d673de d6ba4044f9d57f7e86d83187982ed593
com.tst.blank	4f7d3c5859100d65ff02449884841b9c 50e9cdc3ed145bbc688356eda07f8eb3 9f1e2249003ab22cf8a38048e0ff6f6c
com.yun.wth.er	e39bddf592016ad6d0784770df3e2ffe
org.life.goal.tools	7469c9c06e5f324ca608e0140156bbad da67e37be01c20566990152ecfb14ed1
picturetranslate.extractor.text.lite	4521a5bbe0f33a15da86bd80ff5d6d9c 8ec360829f4f7ae8dcae47c02b996762 d56158a2cc8d13778df850907733b2c4 836739fe7196437d8e998245b6f2b3b4
com.audify.editor.wavrge	fac6548a4a7a88156468b809c4f877f5
com.audify.editor.pro	cf4f24fdd283f80313565b08fea9d06d
com.prorestore.qr	3c098465af131141996ff840bd34e791
com.go.weather.mot	387f7af167530486adcf3d8546063462
com.dmstudio.weather	ee4e778e53ce4d4339d7c7888d06384d

Hashes MD5 adicionales publicados en el análisis

Paquete asociado	MD5
picturetranslate.extractor.text.lite	e250e5966c119a9098f7818fc6c080e5
appicon.diy.tools.prop	3b20edff1125e146aa3d5153708b58f4
com.dmstudio.weather	542ab80429ec42e8643dc645f58b716c
com.audify.editor.pro	145b806282d247441751bb4957b71606
com.mb.applock.a02	ee70ec99121f4d7c8b5a883e5ab3a858
com.solide.filemanager.lte	92390cacdd20d2ee5405093669e7302c

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o los hipervínculos. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/midnight-mimosa/