Midnight Mimosa: telemóveis Android baratos chegam às lojas com malware instalado de fábrica

Comprar um telemóvel Android muito barato numa loja online pode trazer um extra que não vem na caixa. Os investigadores da Bitdefender descreveram a 8 de outubro uma campanha a que chamaram Midnight Mimosa, encontrada em equipamentos de baixo custo de várias marcas, todos construídos sobre plataformas MediaTek. O problema está numa aplicação de sistema que já vem no firmware quando o telemóvel é ligado pela primeira vez. Ao longo de cerca de dois anos, a empresa viu-a em milhares de aparelhos, em mais de 150 países.

Essa aplicação aparece com o nome genérico "System", não tem ícone e usa identificadores como com.android.system.lite ou com.android.sys.prot. Tem privilégios de sistema, o que lhe permite instalar e remover outras aplicações sem perguntar, dar-lhes permissões e carregar código a partir de servidores remotos. O objetivo visível é dinheiro. O componente instala falsas apps de meteorologia, de bloqueio de aplicações ou de notas, que carregam anúncios verdadeiros numa janela invisível, e transforma o telemóvel num ponto de passagem para tráfego de terceiros, aquilo a que se chama um proxy residencial.

O que mais inquieta os investigadores é o que o componente pode fazer e ainda não fez. Ativa sozinho os serviços de acessibilidade e de leitura de notificações e tem permissão para ler e enviar SMS, o que dá acesso a códigos de autenticação e a mensagens de outras aplicações. A Bitdefender não viu estas capacidades a ser usadas, mas nota que ficam à disposição de quem controla os servidores.

Que telemóveis estão em causa

Não há uma lista fechada de modelos. Os dois com mais deteções são de marcas reais, o Doogee S200 X e o Cubot KingKong X, nomes que já tinham aparecido num incidente com uma atualização de firmware relatado no fórum XDA. Há também contrafações: aparelhos que se apresentam como "S25 Ultra", "S26 Ultra", "i17 Pro Max" ou "Magic 15 Max" e que por dentro são hardware MediaTek de gama baixa. Parte do firmware afetado está assinada com certificados em nome da Shenzhen Zediel, mas a Bitdefender sublinha que isso não prova que a empresa conhecesse o malware, e admite não saber em que ponto da cadeia de fabrico e distribuição ele é introduzido.

A distribuição geográfica é liderada pelo México, França e Itália, seguidos dos Estados Unidos, Alemanha, Brasil e Espanha. Portugal não é referido no relatório. Para os autores, este padrão é o de equipamento vendido em mercados online internacionais, e não o de uma operadora ou de um retalhista de um só país. Quem encomenda nessas plataformas a partir de Portugal corre o mesmo risco.

O que podes fazer

Desinstalar não resolve, porque o componente está na partição de sistema. Segundo a Bitdefender, limpar o telemóvel exige uma intervenção ao nível do firmware ou a desativação do componente por ADB, a ferramenta de linha de comandos do Android, e nenhuma das duas está ao alcance da maioria das pessoas. A correção duradoura depende dos fabricantes e das plataformas que vendem estes equipamentos. O relatório não inclui qualquer reação das marcas nem da Google.

Se tens um telemóvel de uma marca pouco conhecida, comprado muito abaixo do preço habitual, vale a pena comparar a lista de aplicações, incluindo as de sistema, com os nomes publicados no relatório da Bitdefender e ver se o fabricante lançou alguma atualização. Enquanto houver dúvida, o mais prudente é não usar esse aparelho para a aplicação do banco nem para receber códigos por SMS.

A investigação encontrou ainda o mesmo código de fraude publicitária em 13 aplicações da Google Play, de categorias como meteorologia, bloqueio de apps, notas, extração de texto de imagens e edição de áudio. Têm menos poderes do que a versão pré-instalada, mas ligam-se aos mesmos servidores, e os identificadores também constam do relatório.

AndroidMalwareBitdefenderMediaTekDoogeeCubot