Midnight Mimosa: malware pré-instalado em Androids baratos chega a 150 países, e o Brasil está na lista
A Bitdefender descreveu o Midnight Mimosa, malware gravado no firmware de celulares Android baratos com chip MediaTek, usado em fraude de anúncios e difícil de remover. O Brasil está entre os sete países com mais detecções.
O que a Bitdefender encontrou
O ponto central do relatório é que o problema não está em um aplicativo baixado pelo usuário, e sim no próprio sistema do aparelho. O componente principal é um app de sistema pré-instalado, de nome com.android.system.lite, assinado com a chave da plataforma. Isso lhe dá permissões como instalar pacotes e conceder permissões em tempo de execução, e impede a desinstalação pelos meios normais. Para a Bitdefender, o malware pré-instalado é “uma classe de ameaça diferente”: as verificações da loja de apps e a simples remoção de aplicativos não protegem o dono do aparelho.
Uma biblioteca nativa descriptografa um framework que contacta um servidor de comando disfarçado de API de clima. A partir dele, plugins fazem cliques e impressões falsas em anúncios, instalam aplicativos em silêncio e desativam temporariamente a Google Play Store para evitar o Play Protect. A empresa identificou ao menos 32 aplicativos disfarçados de utilitários, como bloqueador de apps, clima, notas e OCR, além de 13 apps na própria Google Play que compartilham o mesmo código e exibem anúncios fora do uso do aplicativo. O aparelho também pode virar um nó de proxy residencial, o que o coloca em uma possível botnet.
| Ponto | O que o relatório e a imprensa dizem |
|---|---|
| Autoria do relatório | Bitdefender Labs, 8 de outubro de 2026 (atualizado em 9 de outubro) |
| Alcance | Milhares de aparelhos únicos em mais de 150 países, ao longo de cerca de dois anos |
| Países mais afetados | México, França e Itália, seguidos de Estados Unidos, Alemanha, Brasil e Espanha |
| Chip | Plataformas MediaTek |
| Aparelhos citados | Doogee S200 X, Cubot KINGKONG X e modelos com nomes que imitam Galaxy S25 Ultra e iPhone 17 Pro Max |
| Objetivo aparente | Fraude de cliques e de anúncios e proxy residencial; motivação financeira |
| Remoção | Exige correção de firmware ou desativação via ADB; reset de fábrica pode não resolver |
E o Brasil?
O relatório coloca o Brasil em sexto lugar no grupo principal de países, mas não traz percentuais nem um número de aparelhos brasileiros, e por isso não citamos nenhuma contagem. O Canaltech, em 9 de outubro, usa o relatório para alertar que celulares Android baratos já chegam ao país com vírus de fábrica. Não abrimos o texto completo do Canaltech e não sabemos, a partir das fontes, quais modelos específicos foram detectados aqui.
O que fazer
- Desconfie do preço: a Bitdefender recomenda cuidado com valores muito baixos, vendedores desconhecidos, especificações vagas e modelos que imitam topos de linha.
- Confira o aparelho: veja se o nome do modelo corresponde ao que você comprou, a data do patch de segurança e o estado do Play Protect nas configurações.
- Observe sinais: anúncios fora de aplicativos, bateria e dados consumidos de forma anormal e aquecimento são indícios apontados.
- Proteja o que importa: evite banco e verificação em duas etapas nesse celular até conferir; faça uma varredura com um app de segurança confiável.
- Peça troca ou reembolso: se houver suspeita, fale com o vendedor. Não instale firmware não oficial nem siga receitas aleatórias de correção.
Contexto para quem compra celular barato
Aparelhos de entrada legítimos existem e são vendidos por fabricantes com atualizações e garantia local. Para comparar, veja o Galaxy A08 no Brasil e o Moto G37. Outros lançamentos de entrada que cobrimos, mas que não chegaram ao país, estão no Realme P4s Lite e no Infinix Smart 20 HD. Sobre outro risco de segurança ligado a sistema desatualizado, leia o teste de bloqueio de login do WhatsApp.
Perguntas rápidas
O que é o Midnight Mimosa? Um malware pré-instalado no firmware de celulares Android baratos, segundo a Bitdefender. Reset de fábrica resolve? Pode não resolver, porque o componente fica na partição do sistema. O Brasil foi afetado? Aparece entre os sete países com mais detecções, sem número divulgado. Todo Doogee ou Cubot está infectado? Não há essa afirmação. Quem inseriu o código? A Bitdefender não determinou.