Os investigadores da Bitdefender revelaram uma campanha de malware que já vem instalada de fábrica em telemóveis Android de baixo custo. Batizada de Midnight Mimosa, afeta dispositivos Android de baixo custo, de várias marcas, construídos sobre plataformas MediaTek. O código malicioso está embutido no firmware, por isso existe antes de o comprador ligar o aparelho pela primeira vez e não pode ser removido como uma aplicação normal. Segundo a empresa romena, a campanha decorre há cerca de dois anos e foi detetada em milhares de equipamentos em mais de 150 países. O objetivo principal é o lucro, através de fraude publicitária e da revenda da ligação à internet das vítimas como proxy residencial.
Resposta rápida: A Bitdefender descobriu o Midnight Mimosa, um malware gravado no firmware de telemóveis Android baratos com chips MediaTek. O malware instala aplicações sem o utilizador saber, faz fraude publicitária e transforma o aparelho num proxy residencial. Não se remove com uma desinstalação nem com uma reposição de fábrica. Quem tiver um telemóvel suspeito deve contactar o vendedor ou o fabricante e não usar o aparelho para banca online, autenticação de dois fatores ou documentos sensíveis.
Um componente de sistema que não age como tal
A investigação começou quando a tecnologia de deteção comportamental do Bitdefender Mobile Security assinalou o com.android.system.lite, um pacote com o nome e a aparência de um componente central do sistema, mas que se comportava de forma completamente diferente. Este pacote foi só o primeiro a ser identificado. Com o avanço da análise, o mesmo núcleo malicioso apareceu com outros nomes de aspeto legítimo, como com.android.sys.prot, com.android.sys.gmsprot e com.android.sys.bcprot.
O problema está na forma como o componente é assinado. Segundo a Bitdefender, o centro da cadeia de infeção é uma aplicação de sistema persistente, assinada com a chave da plataforma e pré-instalada nos dispositivos afetados. Por isso, o Android trata-a como uma parte fiável do sistema operativo e dá-lhe privilégios que nenhuma aplicação comum consegue obter.
Como funciona a cadeia de infeção
O componente pré-instalado funciona como uma porta de entrada. Os investigadores chamam-lhe “enabler”, ou ativador. Faz download de uma configuração a partir de um servidor externo e depois descarrega e executa módulos adicionais. Segundo a Bitdefender, instala silenciosamente uma família rotativa de pelo menos 32 aplicações disfarçadas, como falsos bloqueadores de apps, aplicações de meteorologia, gestores de ficheiros, ferramentas de ícones, OCR e editores de áudio.
O malware usa várias técnicas para não ser detetado:
- Desativa a Play Store: desliga a aplicação Google Play Store pouco antes de instalar uma aplicação maliciosa, provavelmente para evitar a deteção pelo Play Protect. A Play Store volta a ser ativada depois. Há ainda um mecanismo que a reativa quando o utilizador está a usar o telemóvel, para não levantar suspeitas.
- Atribui-se permissões perigosas: concede a si próprio acesso a Acessibilidade, notificações e SMS. A Bitdefender ressalva que não observou estes acessos a ser usados na prática, mas o operador pode ativá-los quando quiser.
- Infraestrutura camuflada: a aplicação de sistema e as aplicações maliciosas partilham infraestrutura, incluindo um servidor de comando e controlo disfarçado de API meteorológica.
O dinheiro não é gerado pelo componente de sistema, mas pelas aplicações que este instala. A Bitdefender explica que estas aplicações carregam anúncios reais através de um SDK publicitário legítimo, com o objetivo de abrir uma janela invisível por cima de outras aplicações que regista anúncios como vistos. Além disso, as aplicações maliciosas incluem capacidades de proxy, ou seja, encaminham tráfego de terceiros através da ligação à internet da vítima. Na prática, o telemóvel passa a fazer parte de uma rede de proxies residenciais.
A ameaça não se limita ao firmware. A Bitdefender encontrou 13 aplicações distribuídas na Google Play Store com o mesmo código de fraude publicitária, que comunicavam com infraestrutura conhecida do Midnight Mimosa. Foram publicadas com 13 certificados de assinatura diferentes e por pelo menos duas contas de programador, fivedev e CPS Developer. Como não têm privilégios elevados, não conseguem instalar outro software em silêncio, mas conseguem mostrar anúncios fora da sua própria interface.
Que telemóveis estão em causa
Não há uma lista completa de modelos afetados. A telemetria da Bitdefender aponta para dispositivos Doogee identificados como S200 X e dispositivos Cubot identificados como KINGKONG X. Também foram detetadas versões regionais de firmware e telemóveis que imitam modelos topo de gama, como falsos “S25 Ultra”. A empresa sublinha que não afirma que a Doogee ou a Cubot tenham vendido o malware de forma consciente. A lista de países mais afetados inclui o México, França, Itália, Estados Unidos, Alemanha, Brasil e Espanha. Portugal não aparece entre os países destacados, mas os mesmos aparelhos vendem-se nos marketplaces online usados pelos consumidores portugueses.
Na atribuição, a Bitdefender é cautelosa. O ativador com.android.system.lite está assinado com um certificado de plataforma (CN=ZED, O=ZED, L=ShenZhen) que corresponde à Shenzhen Zediel Co., Ltd., uma fabricante chinesa de tablets e equipamentos Android. A própria Bitdefender avisa que esta atribuição técnica não prova que a Shenzhen Zediel tenha criado, distribuído ou tido conhecimento do malware. Outros aparelhos afetados não têm firmware assinado com esse certificado. Os investigadores apontam como possíveis pontos de inserção um fabricante de design original, um integrador de firmware, um parceiro logístico ou outro intermediário.
A Bitdefender também observa que algumas das aplicações maliciosas se assemelham às da família Android.Phantom, documentada pela Dr.Web, agora com proxyware residencial acrescentado.
Indicadores de comprometimento
O Midnight Mimosa não explora nenhuma vulnerabilidade de software. Trata-se de um comprometimento da cadeia de fornecimento, por isso não há CVE nem pontuação CVSS associados. Estes são alguns dos indicadores divulgados:
| Tipo | Indicador |
|---|---|
| Pacotes de sistema | com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot, com.android.sys.bcprot |
| Domínio de controlo | api.weatherlive[.]world |
| Prefixo de endereço MAC | A0:53:94 (atribuído à Zediel) |
| Certificado de plataforma | CN=ZED, O=ZED, L=ShenZhen, C=CN |
| Identificadores de firmware | J10_EEA, A9_EEA, T13_EEA, Q6_EEA, k62v1_64_bsp (MediaTek MT6762) |
| Modelos reportados | Doogee S200 X, Cubot KINGKONG X, imitações de “S24/S25/S26 Ultra” |
A fonte para o domínio e o prefixo MAC é o relatório da Bitdefender. Mesmo assim, estes identificadores são etiquetas de telemetria e não uma lista fechada de dispositivos afetados.
Cronologia
| Data | Acontecimento |
|---|---|
| Cerca de 2024 a 2026 | Atividade observada pela Bitdefender em milhares de dispositivos em mais de 150 países |
| Antes da divulgação | Donos de Cubot e Doogee relatam em fóruns aplicações suspeitas que se reinstalavam sozinhas |
| 8 de outubro de 2026 | A Bitdefender Labs publica o relatório técnico sobre o Midnight Mimosa |
| 9 a 13 de outubro de 2026 | O caso é noticiado pela imprensa internacional; a lista completa de modelos continua por apurar |
Nos fóruns XDA, o dono de um Doogee Fire 3 Max contou que uma atualização oficial de firmware infetou o aparelho. O malware desapareceu quando repôs uma versão anterior e voltou quando reinstalou a atualização. Outros utilizadores disseram que os fabricantes lançaram atualizações que resolveram as infeções, mas os fabricantes não explicaram publicamente como o software malicioso entrou no firmware.
O que fazer se tiver um destes telemóveis
O malware está na partição de sistema, por isso uma desinstalação comum não o remove. Segundo a Bitdefender, a limpeza exige intervenção ao nível do firmware ou desativar o componente através do ADB, algo que a empresa considera irrealista para a maioria das pessoas. Recomenda que fabricantes e marketplaces resolvam o problema na origem. Recomendações práticas:
- Contactar o vendedor ou o fabricante e pedir firmware limpo, uma substituição ou o reembolso.
- Atualizar o Android e as aplicações e apagar as que não reconhecer.
- Enquanto o telemóvel não for verificado, não o usar para banca online, autenticação de dois fatores ou documentos sensíveis. Não instalar firmware não oficial.
- Nas empresas, vigiar alterações de permissões feitas por aplicações de sistema, desativações da Play Store, instalações silenciosas e tráfego para o domínio indicado acima.
- Ao comprar, preferir fabricantes conhecidos e lojas que respondam pelo produto, e desconfiar de “topos de gama” a preços demasiado baixos.
Porque é que isto importa em Portugal
Para os cidadãos, o risco tem duas partes. A mais evidente é que o telemóvel trabalha para terceiros sem o dono saber. A menos evidente é que, se a ligação à internet servir de proxy residencial, o endereço IP da vítima pode aparecer associado a tráfego de terceiros, incluindo atividade ilícita. As permissões de acesso a SMS e notificações não foram usadas de forma abusiva, mas o operador pode ativá-las quando quiser. Isto é grave num país onde os códigos de autenticação bancária chegam por SMS.
Para as PME e outras organizações, o caso mostra o perigo de comprar equipamentos baratos sem controlo de origem, sobretudo quando são usados em trabalho. As entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) têm de gerir os riscos da cadeia de fornecimento. Um telemóvel comprometido de fábrica com acesso ao e-mail ou à VPN da empresa é exatamente este tipo de risco. Se um dispositivo destes der acesso a dados pessoais de clientes ou trabalhadores, pode haver também obrigações ao abrigo do RGPD. Os incidentes podem ser comunicados ao CNCS/CERT.PT. A longo prazo, o Regulamento de Ciber-Resiliência europeu vai exigir requisitos de segurança aos produtos com elementos digitais vendidos no mercado único, o que inclui casos como este.
Perguntas frequentes
O que é o Midnight Mimosa?
É uma campanha de malware descoberta pela Bitdefender. O malware vem pré-instalado no firmware de telemóveis Android de baixo custo com chips MediaTek e serve para fraude publicitária, instalação silenciosa de aplicações e transformação do aparelho num proxy residencial.
Uma reposição de fábrica remove o malware?
Não. O componente está na partição de sistema do firmware e volta a estar presente depois de uma reposição. A limpeza exige firmware limpo do fabricante ou a desativação técnica do componente através do ADB.
Que marcas e modelos estão afetados?
Não existe uma lista completa. A telemetria aponta para equipamentos identificados como Doogee S200 X, Cubot KINGKONG X e imitações de modelos Samsung, mas a Bitdefender não acusa estas marcas de terem colocado o malware de forma consciente.
O que devo fazer se suspeitar que o meu telemóvel está infetado?
Contacte o vendedor ou o fabricante para pedir firmware limpo, substituição ou reembolso. Até lá, não use o aparelho para banca online, códigos de autenticação ou documentos sensíveis, e não instale firmware não oficial.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Bitdefender Labs, pelo BleepingComputer e por relatos de utilizadores nos fóruns XDA.