O telemóvel vem infetado antes de abrir a caixa
A 8 de outubro, a Bitdefender Labs relatou uma campanha chamada Midnight Mimosa, que corre em telemóveis Android baratos de várias marcas com plataformas MediaTek. O malware vem no firmware do dispositivo, por isso está no telemóvel antes de o dono o ligar pela primeira vez, e o dono não o consegue desinstalar.
O seu componente principal, um pacote de sistema chamado com.android.system.lite, corre com privilégios de sistema. Isso permite-lhe instalar e remover apps em silêncio, conceder permissões e carregar código fornecido à distância pelos operadores. A Bitdefender encontrou o mesmo núcleo sob outros nomes que parecem de sistema, entre eles com.android.sys.prot, com.android.sys.gmsprot e com.android.sys.bcprot.
O dinheiro vem da fraude e de alugar o telemóvel. Os operadores praticam fraude de anúncios e de cliques, recolhem dados do dispositivo e das apps e transformam telemóveis em nós de proxy residencial de botnets. A app de sistema não clica ela própria em anúncios: apps de fachada largadas, como as de meteorologia, bloqueio de apps e OCR, carregam anúncios verdadeiros através de um SDK publicitário legítimo numa janela invisível.
Até onde se espalhou
Os números da Bitdefender descrevem uma campanha com alcance global e forte presença europeia.
| Constatação | Valor |
|---|---|
| Apps parceiras disfarçadas da família rotativa | Pelo menos 32 |
| Apps no Google Play ligadas aos mesmos servidores | 13, nenhuma disponível para transferir agora |
| Período de observação | Cerca de dois anos |
| Países com deteções | Mais de 150 |
| Os sete países com maior parte dos dispositivos | México, França, Itália, Estados Unidos, Alemanha, Brasil, Espanha |
Nenhum país domina. A Bitdefender lê os dois centros de gravidade, Europa Ocidental e Américas, como o aspeto de hardware que circula por mercados internacionais em linha, não como um canal de distribuição regional. A lista de países do The Hacker News inclui também o Reino Unido, o Canadá, a Roménia, a Polónia e a Tailândia.
A Bitdefender não consegue dizer em que ponto da cadeia de abastecimento o malware é acrescentado. Pode ser um fabricante por contrato, um integrador de firmware, um parceiro logístico ou alguém mais abaixo na cadeia.
Porque os controlos habituais não se aplicam
O ponto da Bitdefender é que toda a defesa voltada para o utilizador pressupõe que o dono está presente na instalação: o pedido de instalação, a revisão da loja, o Play Protect e a possibilidade de desinstalar depois. Uma app de sistema assinada pela plataforma tira o dono desse circuito, e esta desativa o Google Play mesmo antes de instalar uma carga e volta a ativá-lo depois.
Limpar um telemóvel afetado exige uma limpeza ao nível do firmware ou desativar o componente por ADB, e a Bitdefender não considera nenhuma das duas realista para a maioria dos donos. Diz que a solução duradoura está nos fabricantes e mercados que distribuem e vendem o firmware. A nossa leitura é que um agente de gestão de telemóveis corre sobre o mesmo firmware, pelo que não se deve dar como certo que consiga remover um componente que vive na partição do sistema.
As regras da UE visam o fabricante, mas o calendário deixa os compradores expostos. As obrigações de notificação do Cyber Resilience Act para vulnerabilidades ativamente exploradas aplicam-se desde 11 de setembro de 2026, e as obrigações principais a partir de 11 de dezembro de 2027. A Bitdefender não diz se os telemóveis que encontrou foram vendidos na UE por canais legítimos, apenas que as deteções são numerosas em França, Itália, Alemanha e Espanha.
O que pôr na política de telemóveis
Escreva uma norma de compra: marcas conhecidas, um período publicado de atualizações de segurança e telemóveis comprados ao fabricante ou a um revendedor autorizado. Trate imitações muito baratas de topos de gama como sinal de alarme. A Bitdefender nota que nomes de modelo como S24 Ultra, S25 Ultra e S26 Ultra aparecem como cadeias de modelo comunicadas por hardware MediaTek de baixo custo.
Para quem traz o próprio telemóvel, permita só modelos aprovados e, no máximo, dispositivos baratos desconhecidos na wifi de convidados. Se os seus registos de DNS ou da firewall forem pesquisáveis, procure os anfitriões de comando e de carga da lista de indicadores da Bitdefender, api.weatherlive[.]world e oss.showtimetool[.]com, e veja numa correspondência um motivo para inspecionar esse dispositivo.
Um nome de pacote é uma pista, não um teste. A Bitdefender sublinha que os nomes rodam e que o que conta é o núcleo partilhado, por isso confie em hardware que escolheu e em registos que sabe ler, não numa lista de bloqueio de nomes de apps.
Leia a seguir: A Google acabou de ajudar a financiar o aprisionamento que a UALink foi criada para evitar | Motorola acaba com o monopólio Pixel da GrapheneOS
