O celular já vem infectado
Pesquisadores da Bitdefender revelaram em outubro de 2026 a campanha Midnight Mimosa: malware que vem pré-instalado no firmware de celulares Android baratos, de várias marcas, baseados em chips MediaTek. O código está no aparelho antes de o dono ligá-lo pela primeira vez e não pode ser desinstalado pelos meios normais.
O que o malware faz
Segundo a Bitdefender e a cobertura da SecurityWeek, Android Authority e Security Affairs, o Midnight Mimosa roda como app de sistema assinado pela plataforma e consegue:
- instalar e remover apps em silêncio e conceder permissões;
- gerar fraude de anúncios e de cliques;
- transformar o aparelho em nó de proxy residencial de uma botnet;
- carregar código remotamente a partir de um servidor de comando e controle;
- segundo a Android Authority, driblar o Play Protect.
Escala e aparelhos
Em cerca de dois anos, a família foi vista em milhares de aparelhos únicos em mais de 150 países. Lideram México, França e Itália, seguidos de EUA, Alemanha, Brasil e Espanha, com uma cauda longa na África, Sudeste Asiático e Oriente Médio.
Os modelos mais frequentes são o Doogee S200 X e o Cubot KINGKONG X. A Bitdefender também viu nomes falsos de topo de linha como "S25 Ultra", "S24 Ultra" ou "i17 Pro Max", aparelhos que imitam marcas premium mas não vêm delas. Um tópico no fórum XDA descreve um pacote oculto com.android.sys.* que voltava com outro nome depois de removido.
Observação: a Bitdefender frisa que a pesquisa trata de uma campanha e de um ecossistema específicos. Celulares baratos de fabricantes reconhecidos continuam sendo opções seguras.
Por que isso é diferente
"Malware pré-instalado é outra classe de ameaça", diz o relatório. Todas as defesas voltadas ao usuário partem do princípio de que ele participa da instalação: o aviso de instalação, a revisão da loja, o Play Protect e a opção de desinstalar. Aqui nada disso se aplica. É um ataque à cadeia de suprimentos.
O que fazer
Usuários:
- Desinstalar ou fazer reset de fábrica não resolve, porque o código está na partição de sistema.
- Peça reembolso ou troca ao vendedor e prefira marcas e lojas reconhecidas.
- Não instale firmware não oficial prometendo correção rápida.
Empresas:
- Não deixe celulares "genéricos" de marketplaces acessarem e-mail, chat ou VPN corporativos.
- Use MDM com lista de modelos aprovados e atestado de integridade do aparelho.
- Em redes corporativas, monitore tráfego anômalo de proxy saindo de celulares.
Fontes
- Bitdefender Labs: https://www.bitdefender.com/en-us/blog/labs/midnight-mimosa-malware
- SecurityWeek (9/10/2026): https://www.securityweek.com/pre-baked-firmware-malware-hits-budget-android-devices-in-150-countries/
- Android Authority: https://www.androidauthority.com/midnight-mimosa-malware-android-phones-3720493/
- Security Affairs: https://securityaffairs.com/200759/malware/bitdefender-finds-preinstalled-android-malware-you-cant-uninstall-seen-in-150-countries.html
Precisa de uma política de dispositivos móveis segura para sua equipe? A KGA IT oferece uma consulta gratuita: kga-it.com.