La ciberseguridad se enfrenta a una amenaza creciente con el descubrimiento de “Midnight Mimosa”, un malware preinstalado en teléfonos Android de bajo costo. Este software malicioso convierte los dispositivos en proxies residenciales, realiza fraude publicitario y puede instalar o desinstalar aplicaciones de forma encubierta. Afecta principalmente a dispositivos basados en plataformas MediaTek de varias marcas, a menudo modelos genéricos o falsificados.
El malware, identificado como “com.android.system.lite”, opera con privilegios a nivel de sistema, lo que le permite controlar extensivamente el dispositivo. Puede instalar más de 32 aplicaciones disfrazadas, otorgarse permisos adicionales para servicios de accesibilidad, notificaciones y SMS, y ejecutar código arbitrario recibido de forma remota. También se ha detectado en 13 aplicaciones de Google Play, ya eliminadas, que ofrecían funcionalidades legítimas pero también cargaban y mostraban anuncios fuera de la aplicación principal.
“Midnight Mimosa” obtiene configuraciones de un servidor externo para descargar e implementar cargas útiles (payloads) destinadas a actividades de fraude publicitario y a la instalación o eliminación silenciosa de aplicaciones asociadas que incluyen funcionalidades de proxyware. Un aspecto notable es su capacidad para deshabilitar temporalmente Google Play Store antes de instalar una aplicación maliciosa y luego volver a habilitarla, intentando evadir las salvaguardias de Play Protect. La presencia de este malware en el firmware sugiere una posible vulneración en la cadena de suministro de los dispositivos, con conexiones a la empresa china Shenzhen Zediel Co., Ltd. Se han observado miles de dispositivos infectados en más de 150 países, con una concentración significativa en México, Brasil y España, entre otros.
La remediación para los usuarios es extremadamente compleja debido a la naturaleza preinstalada del malware a nivel de firmware. Eliminarlo requiere una limpieza profunda a nivel de firmware o deshabilitar el componente a través de ADB (Android Debug Bridge), acciones que no son viables para la mayoría de los propietarios de estos teléfonos. La solución definitiva debe provenir de los fabricantes y los mercados que distribuyen este firmware comprometido.
Qué significa para tu empresa: La presencia de dispositivos con malware preinstalado en la red corporativa representa un riesgo significativo. Estos dispositivos pueden consumir ancho de banda de forma anómala, actuar como nodos de una botnet para ataques externos, y potencialmente comprometer la seguridad interna al convertirse en puntos de entrada. Para mitigar estos riesgos, es crucial una estrategia de seguridad gestionada por capas. Específicamente, contar con un SOC con monitoreo 24/7 es vital para identificar patrones de tráfico inusuales o comunicaciones sospechosas que delaten la actividad de un proxy residencial o botnet dentro de su infraestructura, complementado con la protección de endpoints EDR/XDR.
Fuente original: The Hacker News — ver artículo →