Se cree que el malware fue introducido en algún punto de la cadena de suministro del dispositivo, pero no está claro quién es responsable de modificar el firmware o en qué etapa ocurrió la manipulación.

El malware está integrado directamente en el firmware de dispositivos Android de bajo coste que utilizan chipsets MediaTek, lo que le otorga privilegios a nivel de sistema que le permiten instalar y eliminar aplicaciones, conceder permisos sensibles y ejecutar código descargado remotamente sin interacción del usuario.

Según investigadores de Bitdefender, la campaña afectó a miles de dispositivos en más de 150 países durante aproximadamente dos años, con el mayor número de víctimas en México, Francia, Italia, Estados Unidos, Alemania, Brasil y España.

Los investigadores encontraron malware preinstalado en dispositivos con nombres de modelo asociados a fabricantes legítimos, incluidos el Doogee S200 X y Cubot KINGKONG X, así como teléfonos que suplantaban productos de Samsung y Apple.

En una publicación de los foros de XDA, propietarios de smartphones Cubot y Doogee informaron haber encontrado aplicaciones sospechosas que se reinstalaban repetidamente tras ser eliminadas.

Un propietario de un Doogee Fire 3 Max también informó que una actualización oficial de firmware infectó el dispositivo con el malware, el cual desaparecía al restaurar una versión de firmware anterior, pero regresaba al instalar la actualización nuevamente.

Algunos usuarios afirmaron que los fabricantes lanzaron actualizaciones de firmware que resolvieron las infecciones. Sin embargo, los fabricantes no han explicado públicamente cómo se introdujo el software malicioso en el firmware afectado.

Bitdefender también mencionó la publicación del foro XDA en su informe y señaló que uno de los paquetes de malware reportados por los usuarios del foro, com.android.non.szcz, forma parte de la misma familia de malware.

Malware de android preinstalado

A diferencia del malware típico de Android que requiere que los usuarios instalen una aplicación maliciosa, Midnight Mimosa ya está instalado en la partición del sistema del dispositivo cuando los clientes reciben sus teléfonos.

Los programas maliciosos suplantan paquetes legítimos del sistema Android, utilizando nombres como com.android.system.lite, com.android.sys.prot y com.android.sys.gmsprot.

Debido a que estas aplicaciones están firmadas y se ejecutan con privilegios elevados del sistema, no pueden eliminarse mediante el proceso normal de desinstalación de aplicaciones de Android.

Bitdefender descubrió la campaña después de que su tecnología de Detección de Anomalías de Aplicaciones señalara una aplicación de sistema sospechosa llamada com.android.system.lite que estaba instalando y eliminando otras aplicaciones silenciosamente.

Investigaciones posteriores determinaron que la aplicación formaba parte de un marco de malware más amplio que descarga módulos adicionales desde servidores de comando y control (C2) para realizar diversas actividades maliciosas.

Los investigadores identificaron aproximadamente 32 aplicaciones distribuidas a través del marco, incluyendo aplicaciones disfrazadas de utilidades meteorológicas, administradores de archivos, bloqueadores de aplicaciones, herramientas de OCR y editores de audio.

"La aplicación del sistema en sí no registra las impresiones y clics fraudulentos", explica Bitdefender.

"El motor de ingresos es impulsado por las aplicaciones de cobertura desplegadas, incluyendo aplicaciones de clima, bloqueo de aplicaciones, notas y OCR con apariencia real, que cargan anuncios genuinos a través de un SDK publicitario legítimo. El objetivo es simple: cargar una ventana invisible sobre las aplicaciones que registre que se están mostrando anuncios".

Estas aplicaciones se utilizan para generar impresiones y clics publicitarios fraudulentos, y algunas muestran anuncios en ventanas ocultas o interactúan automáticamente con los anuncios sin la intervención del propietario del dispositivo.

El malware también emplea técnicas diseñadas para evadir las protecciones de seguridad de Android.

Antes de instalar silenciosamente aplicaciones maliciosas, desactiva temporalmente la aplicación Google Play Store, com.android.vending, lo que según Bitdefender tiene como objetivo evitar que Google Play Protect detecte la instalación.

Una vez completada la instalación, el malware vuelve a habilitar la Play Store para evitar levantar sospechas.

Algunas variantes del malware también manipulan la información del instalador registrado de Android para que las aplicaciones maliciosas parezcan haber sido instaladas a través de Google Play, aunque hayan sido desplegadas directamente por el malware.

El malware también incluye funciones que convierten los teléfonos Android infectados en proxies residenciales que pueden retransmitir tráfico de red.

Bitdefender identificó una aplicación maliciosa disfrazada de bloqueador de aplicaciones, com.mobile.applock.en, que contiene un componente de proxy TCP que registra los dispositivos infectados en un servidor de comandos remoto.

Una vez registrado, el malware puede recibir instrucciones para conectarse a hosts específicos y reenviar tráfico a través del dispositivo infectado.

Esto podría permitir a los atacantes enrutar tráfico malicioso a través de las conexiones a Internet de los propietarios de los teléfonos, ocultando el verdadero origen de los ataques o permitiendo el acceso a dispositivos alcanzables desde el dispositivo infectado.

Bitdefender confirmó que la infraestructura de comando y control del proxy estaba operativa y aceptando registros de dispositivos.

Sin embargo, durante sus pruebas, los investigadores dijeron que su dispositivo recién registrado no recibió ningún objetivo de retransmisión, por lo que no pudieron confirmar si los atacantes estaban reenviando tráfico activamente.