Smartphones Android de baixo custo chegam às mãos de consumidores contaminados de fábrica pelo malware Midnight Mimosa em mais de 150 países, incluindo o Brasil. A constatação consta em relatório técnico publicado pela empresa de cibersegurança Bitdefender na quinta-feira (8 de outubro de 2026), apontando que os arquivos maliciosos são inseridos diretamente no firmware dos dispositivos antes do primeiro acionamento pelo comprador.
Os pesquisadores de segurança cibernética Adrian Mihai Gozob e Alex Baciu explicaram que as defesas do sistema operacional são inutilizadas antes da entrega comercial do produto. “O telefone foi comprometido antes de o usuário ligá-lo pela primeira vez: todos os mecanismos de defesa já haviam sido burlados”, afirmaram os especialistas no documento da companhia romena.
Como o malware Midnight Mimosa opera no sistema Android
O código invasor atua com privilégios de administrador de sistema no firmware, que é o software gravado na memória física do aparelho responsável por inicializar as funções básicas de hardware. Por operar nessa camada profunda da partição interna, o programa malicioso executa instruções remotas sem precisar de autorização da vítima, contorna barreiras tradicionais de proteção e descarrega pacotes adicionais sem alertar o usuário durante o uso cotidiano do celular.
Veja também: Hackers extraem firmware de segurança de modelo Fat do PlayStation 2
Uma das táticas centrais identificadas na investigação envolve a suspensão temporária da Google Play Store. O mecanismo interrompe a loja oficial do Android no momento em que baixa os pacotes nocivos para tentar enganar a varredura preventiva do sistema Google Play Protect, reativando a plataforma normal logo em seguida para não levantar suspeitas de quem utiliza o telefone.
A finalidade primária do esquema consiste na realização de fraude publicitária em larga escala, gerando receitas fraudulentas por meio de anúncios invisíveis e cliques forçados em segundo plano. O vírus também possui funções de extração cadastral do equipamento, capturando o identificador IMEI, o endereço físico de rede MAC e dados do chip SIM, além de manter estrutura pronta para transformar os celulares em nós zumbis de botnets e servidores proxy residenciais para mascarar o tráfego de criminosos digitais.
Acompanhe: Processador de 2 nanômetros da MediaTek estreia em celulares
Aparelhos com Midnight Mimosa e réplicas clonadas
A investigação técnica comprovou que o problema atinge modelos específicos de marcas de menor porte fabril e um grande volume de réplicas não autorizadas que utilizam nomes comerciais de linhas consagradas. Modelos originais fabricados diretamente por grandes marcas globais como Samsung e Apple não possuem essa contaminação; seus nomes são apenas copiados em clones falsificados que chegam com o sistema comprometido ao comércio internacional.
- Doogee S200 X: modelo resistente identificado com o código invasor pré-instalado de fábrica
- Cubot KingKong X: smartphone de fabricante menor com presença confirmada da ameaça no firmware
- Clones do Galaxy S24 Ultra e Galaxy S25 Ultra: cópias falsificadas com identificação mascarada contendo a praga
- Réplicas do iPhone: imitações com base Android infectadas de fábrica vendidas como se fossem aparelhos da Apple
- Processadores MediaTek: arquitetura de chipsets presente na maioria dos dispositivos baratos afetados
Confira também: Novo chip Dimensity 9600M da MediaTek traz tecnologia da TSMC
Alcance da campanha Midnight Mimosa pelo mundo
A operação maliciosa permaneceu em atividade silenciosa por cerca de dois anos antes de ter a arquitetura detalhada publicamente pelo time de pesquisadores da Bitdefender. O mapeamento global de tráfego colocou o Brasil na lista dos sete territórios com maior incidência de detecções do vírus, em um grupo liderado por México, França e Itália, acompanhados também por Estados Unidos, Alemanha e Espanha.
Durante os monitoramentos técnicos, os analistas catalogaram 32 aplicativos disfarçados que foram empurrados para os celulares a partir do firmware adulterado, incluindo utilitários falsos de notas, bloqueadores de programas e ferramentas de previsão do tempo. Paralelamente, foram identificados 13 aplicativos hospedados diretamente na própria Google Play Store que continham módulos conectados à mesma rede criminosa, embora esses programas da loja oficial não possuíssem o nível de controle administrativo presente nos telefones que saíram alterados da linha de montagem.
Leia também: Nvidia faz aporte de US$ 3,5 bilhões na MediaTek e reforça liderança em chips de IA no mercado global
O malware Midnight Mimosa pode ser removido do celular?
O relatório da Bitdefender registrou a dificuldade de limpeza com uma advertência técnica: “Está no telefone antes de o proprietário ligá-lo pela primeira vez, e não pode ser desinstalado”, em tradução livre do documento original. A restauração para os padrões de fábrica do Android não elimina a praga digital, pois os arquivos maliciosos continuam gravados na partição permanente do sistema operacional.
Para recuperar um celular comprometido, o usuário depende de uma atualização oficial de firmware limpa enviada pela fabricante ou de intervenções manuais avançadas por meio da ferramenta de depuração Android Debug Bridge, conhecida pela sigla ADB, para suspender e desativar os processos nocivos do aparelho.
Origem do código na cadeia de suprimentos
A contaminação prévia de smartphones genéricos faz parte de um histórico frequente na cadeia de suprimentos de tecnologia, na qual intermediários ou integradores de software inserem componentes de publicidade clandestina para baratear o custo final do hardware ao consumidor. A autoria específica da campanha e a etapa exata em que o arquivo foi gravado nas matrizes de instalação dos aparelhos analisados ainda não foram identificadas com certeza pelas apurações de segurança cibernética.
