Milhares de celulares Android de baixo custo e modelos falsificados saíram de fábrica com o vírus Midnight Mimosa pré-instalado no firmware, o software que controla as funções essenciais do equipamento. A operação foi revelada em 8 de outubro de 2026 pela empresa de cibersegurança Bitdefender e atinge aparelhos distribuídos no Brasil e em mais de 150 países.
Monitorada há aproximadamente dois anos pelos pesquisadores Adrian Mihai Gozob e Alex Baciu, a campanha concentra o maior volume de detecções no México, na França e na Itália, seguidos por Estados Unidos, Alemanha, Brasil e Espanha. Todos os dispositivos infectados utilizam processadores da plataforma MediaTek e trazem a ameaça gravada diretamente nos componentes internos do sistema.
Como o Midnight Mimosa age no sistema Android e burla o Google
Diferentemente de pragas digitais baixadas por engano pelo consumidor, o componente central do Midnight Mimosa atua como um aplicativo de sistema persistente. Ele opera com privilégios máximos de administração sob pacotes nomeados como com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot e com.android.sys.bcprot. Por estar gravado na raiz do aparelho, o código malicioso não pode ser desinstalado pelos métodos convencionais nem removido por meio da restauração às configurações de fábrica. Com esse nível de acesso, o programa instala e apaga pacotes silenciosamente, libera permissões sensíveis para ler notificações, mensagens de SMS e serviços de acessibilidade, além de baixar comandos arbitrários enviados por servidores remotos.
Para impedir que o sistema de segurança oficial do celular bloqueie a invasão, o vírus desativa temporariamente a Google Play Store antes de instalar suas cargas maliciosas (as chamadas payloads) e reativa a loja virtual logo na sequência, evitando o alerta do Google Play Protect. A operação utiliza um grupo rotativo de pelo menos 32 aplicativos disfarçados — incluindo ferramentas de previsão do tempo, bloqueadores de programas (AppLock), gerenciadores de arquivos, blocos de notas, editores de áudio e leitores de texto em imagem (OCR) — para abrir anúncios em janelas invisíveis e gerar cliques fraudulentos sem que o dono perceba.
Confira também: OPPO lança linha F35 na Índia com bateria de 8.000 mAh
Além da fraude publicitária, o código coleta dados técnicos do telefone, como o número de identificação IMEI, o endereço MAC da placa de rede, registros do chip SIM e a relação de programas instalados. A ameaça também consegue converter o smartphone em um nó de proxy residencial, estrutura que roteia o tráfego de internet de terceiros pela conexão da vítima e integra o telefone a redes de robôs (botnets) alugadas para ataques de negação de serviço (DDoS).
Quais celulares Android têm o vírus Midnight Mimosa?
A investigação da Bitdefender localizou a praga tanto em smartphones de marcas chinesas de entrada quanto em aparelhos falsificados que copiam o visual e adulteram o sistema para exibir nomes de linhas famosas da Samsung, da Apple e da Honor. Os pesquisadores confirmaram que celulares originais da Samsung não foram afetados pela campanha. A relação de identificações falsas e de modelos reais comprometidos na amostragem inclui:
Continue lendo: Nvidia faz aporte de US$ 3,5 bilhões na MediaTek e reforça liderança em chips de IA no mercado global
- Clones que imitam a linha Samsung Galaxy: aparelhos falsos configurados para exibir os nomes S24 Ultra, S25 Ultra, S26 Ultra, Note 18 Ultra e o código de modelo SM-S938B.
- Clones que imitam Apple e Honor: falsificações identificadas no sistema como i17 Pro Max, i16_Pro_Max e Magic 15 MAX.
- Cubot KINGKONG X: modelo de baixo custo que representou mais de 11% dos dispositivos infectados na amostra analisada.
- Doogee S200 X: aparelho que respondeu por mais de 4% das detecções registradas no levantamento.
Ocorrências anteriores no Android e elos ainda sob investigação
O comprometimento de equipamentos antes da chegada às lojas já havia sido registrado em outros levantamentos de segurança digital. No final de 2025, a empresa Kaspersky revelou uma ameaça de firmware semelhante no sistema Android, batizada de Keenadu, que mirava tablets de baixo custo para aplicar fraudes publicitárias. Antes da publicação do relatório da Bitdefender, usuários de fóruns técnicos também já haviam relatado a presença de pacotes ocultos iniciados por com.android.sys.* em celulares das marcas Cubot e Doogee, que voltavam a se instalar com outros nomes mesmo após tentativas manuais de exclusão.
Muitos dos aparelhos infectados pelo Midnight Mimosa utilizam firmwares assinados com certificados digitais vinculados à empresa chinesa Shenzhen Zediel. Os pesquisadores da Bitdefender não conseguiram confirmar, porém, em qual etapa exata da cadeia de suprimentos, fabricação ou distribuição o código foi injetado, nem se a detentora do certificado teve participação direta na adulteração. A equipe técnica também verificou que servidores de proxy residencial aceitavam o registro dos celulares dominados, mas não confirmou se o tráfego externo já era retransmitido em larga escala durante a análise.
Sinais de infecção no Android e cuidados na hora da compra
Mesmo oculto, o funcionamento contínuo do malware pode provocar consumo anormal de bateria, superaquecimento, gasto elevado de dados móveis e o surgimento de ícones desconhecidos na tela. Stefano Levorato, cofundador e diretor de tecnologia (CIO) da Sociedade Brasileira de Inovação (SBI) e especialista em Inteligência Artificial, afirma que o proprietário consegue fazer checagens iniciais nas configurações de fábrica. “O usuário pode sim realizar verificações básicas, como consultar a lista de aplicativos instalados, analisar as permissões sensíveis, monitorar o consumo de bateria e dados e até executar uma análise pelo Google Play Protect ou por uma solução de segurança reconhecida”, disse.
Acompanhe: MediaTek alcança 51,8% dos smartphones entregues no Brasil
Como as checagens comuns não garantem a localização de um vírus alojado no firmware, a recomendação diante de qualquer suspeita é suspender imediatamente o acesso a contas bancárias e dados confidenciais pelo telefone, além de trocar todas as senhas utilizando outro computador ou celular seguro. “O usuário deve procurar o suporte oficial do fabricante ou uma assistência técnica autorizada para verificar a possibilidade de reinstalação segura do firmware original”, afirmou Levorato. Quando o aparelho é falsificado ou não conta com assistência oficial, a única solução definitiva é substituir o equipamento.
Para evitar a compra de aparelhos adulterados, o especialista orienta desconfiar de preços muito abaixo da média de mercado e checar a reputação das lojas em plataformas de comércio eletrônico. “Os marketplaces merecem atenção especial porque reúnem vendedores independentes com diferentes níveis de confiabilidade e o fato de um produto estar anunciado em uma plataforma conhecida não significa necessariamente que tenha sido comercializado ou verificado diretamente por ela”, declarou Levorato. Antes de fechar o pedido ou começar a usar o smartphone, o consumidor deve adotar cinco medidas de verificação:
- Comparar as especificações técnicas, o nome comercial e as fotos do anúncio com a página oficial do fabricante.
- Consultar se o modelo possui certificado de homologação válido na Agência Nacional de Telecomunicações (Anatel).
- Conferir se o código IMEI exibido nas configurações do sistema é idêntico ao número impresso na caixa do produto.
- Checar em plataformas como Amazon e Mercado Livre se o responsável pelo envio é a loja oficial da marca ou um revendedor terceirizado.
- Exigir a emissão de nota fiscal, o termo de garantia e consultar a política de devolução antes de concluir o pagamento.
