La infección no depende de que el usuario descargue una aplicación sospechosa. El componente principal está en una partición del sistema y tiene permisos para instalar y borrar apps sin autorización. También puede conceder permisos sensibles y ejecutar código recibido desde servidores externos.

Los investigadores observaron fraude publicitario y equipos convertidos en nodos de una red de proxies residenciales. En esa modalidad, terceros pueden aprovechar la conexión a internet del teléfono para encaminar tráfico. El análisis no permite atribuir todas las capacidades disponibles a acciones que ya hayan ocurrido.

Un problema del firmware, no de todos los Android

Los casos estudiados corresponden a equipos económicos de distintas marcas construidos sobre plataformas MediaTek. Entre los nombres de modelo reportados aparecen Doogee S200 X y Cubot KINGKONG X. También hay dispositivos que se presentan como teléfonos de Samsung o Apple, pero cuyo hardware corresponde a imitaciones.

Eso no demuestra que todos los equipos de esas marcas estén afectados. Tampoco convierte el nombre que muestra el sistema en prueba de autenticidad. Las cifras describen dispositivos observados por Bitdefender, no un censo de todos los celulares infectados en el mundo.

El malware utiliza distintos nombres de paquetes que parecen componentes normales de Android. Por eso, buscar una sola aplicación no basta para descartar la infección. Los investigadores encontraron además 13 apps de Google Play que compartían infraestructura y código de fraude publicitario, aunque sin los mismos privilegios del componente preinstalado.

La investigación señala que algunos certificados usados para firmar el firmware llevan el nombre Shenzhen Zediel. No establece que su titular haya colocado el malware ni identifica en qué punto de la cadena de suministro ocurrió. Esa responsabilidad sigue sin resolverse.

Por qué desinstalar una app no corrige la raíz

Durante el análisis, el componente del sistema desactivaba temporalmente Google Play Store antes de instalar una carga maliciosa. Después lo habilitaba otra vez. Ese comportamiento buscaba reducir la posibilidad de detección, según Bitdefender.

La empresa también encontró permisos de accesibilidad, notificaciones y SMS. No observó el uso de algunos de ellos durante la investigación. Presentarlos como robo confirmado de mensajes o códigos bancarios iría más allá de la evidencia.

Enter ya había explicado otros casos de malware preinstalado en Android. La novedad aquí es una campaña identificada, sus mecanismos de instalación silenciosa y el uso de los equipos como proxies.

En los dispositivos afectados, la desinstalación habitual no elimina el componente raíz. Bitdefender señala que la limpieza exige actuar sobre el firmware o deshabilitarlo con herramientas técnicas. No son soluciones sencillas para la mayoría de compradores.

El informe no ofrece una corrección universal ni permite asegurar que un restablecimiento de fábrica solucione el problema. La respuesta duradera depende de los fabricantes y de los vendedores que distribuyen el firmware afectado.

Fuentes: Bitdefender Labs; BleepingComputer.