Faça um comentário
6 min de leitura
Celulares Android baratos saem da fábrica com vírus que não dá para desinstalar, já foram achados em mais de 150 países e o Brasil é o 6º da lista
Escrito por Maria Heloisa Barbosa Borges
Publicado em 11/10/2026 às 20:03
Atualizado em 11/10/2026 às 20:04
Ciência e Tecnologia
Grupo
Seja o primeiro a reagir!
Prefira o CPG no Google
A Bitdefender chamou a campanha de Midnight Mimosa: o código vem no firmware de celulares Android com chip MediaTek, instala ao menos 32 aplicativos disfarçados e usa o aparelho para fraude de anúncios. O Brasil responde por 7,02% dos aparelhos detectados, e o relatório não diz quais modelos são vendidos aqui.
Um malware instalado no firmware de celulares Android baratos foi achado em mais de 150 países. O Brasil aparece em sexto lugar, com 7,02% dos aparelhos detectados. Os números são da Bitdefender, empresa romena de segurança, que batizou a campanha de Midnight Mimosa.
O relatório saiu na quinta-feira, 8 de outubro de 2026, e foi atualizado no dia 9. A Bitdefender afirma que o código já está no telefone antes de o dono ligá-lo pela primeira vez e que ele não pode ser desinstalado.
O site The Record, da Recorded Future, resume o alcance. São milhares de celulares Android de várias marcas com chips da MediaTek, observados ao longo de cerca de dois anos. Um dos aparelhos examinados custava cerca de US$ 180.
ARTIGO CONTINUA ABAIXO
Veja também
O que esse malware faz num celular barato?
O núcleo da Midnight Mimosa é um aplicativo de sistema assinado como parte do Android. Por isso ele roda com poderes que nenhum app de loja tem. Instala e remove programas, concede permissões e baixa código novo de um servidor remoto, tudo sem perguntar ao dono. O nome mais comum, segundo a Bitdefender, é com.android.system.lite, com o rótulo genérico “System” e o ícone escondido.
O dinheiro vem de anúncio. O componente de sistema instala ao menos 32 aplicativos disfarçados de clima, bloqueio de apps, notas e leitura de texto em imagem. Esses apps carregam anúncios de verdade, mas os exibem em janelas invisíveis por cima de outros programas e registram cliques que ninguém deu. A Bitdefender diz que o esquema parece feito, sobretudo, para gerar receita.
O aparelho também pode virar ponto de passagem de tráfego de terceiros, o chamado proxy residencial. Pode ainda entrar numa rede de máquinas controladas à distância, a botnet, que serve a ataques de negação de serviço.
Antes de instalar parte desses apps, o código desliga a Play Store por alguns instantes. Depois a liga de novo. Na leitura da empresa, a manobra serve para escapar do Play Protect.
O componente também pede acesso a Acessibilidade, a notificações e a SMS, e liga o de Acessibilidade e o de notificações sozinho. A Bitdefender não viu esses recursos em uso, mas diz que o operador pode ativá-los à distância. É a mesma porta que trojans bancários usam em outros casos.
Onde o Brasil aparece no mapa do malware?
No gráfico do relatório, que cobre uma janela de dois anos, o México lidera, com 13,02% dos aparelhos detectados. O Brasil vem em sexto entre os países nomeados, logo atrás da Alemanha e à frente da Espanha.
Fazendo a conta com os números do gráfico, México, França e Itália juntos somam 35,47%, mais de um terço do total. O Brasil tem o dobro da parcela do Reino Unido e fica a 0,28 ponto percentual da Alemanha.
A leitura tem limite. A Bitdefender não informa o total de aparelhos, só diz “milhares”, então não dá para transformar 7,02% em quantos celulares Android brasileiros estão infectados pela Midnight Mimosa. O número mede o que a empresa observou, e não o país inteiro.
O desenho tem dois centros, a Europa Ocidental e as Américas, e uma cauda longa pela África, pelo Sudeste Asiático e pelo Oriente Médio. Para a Bitdefender, isso combina com aparelhos vendidos em lojas on-line internacionais, e não com um canal de venda regional.
Que celulares aparecem na lista da Bitdefender?
Muitos aparecem só pelo firmware, sem marca clara. Outros usam nomes de linhas de ponta no campo de modelo, como “S25 Ultra” e “i17 Pro Max”, que um aparelho genuíno não informaria. Em alguns casos o código do modelo da Samsung é copiado, e a Bitdefender conclui que são clones.
Os dois modelos de maior volume são de marcas conhecidas de celulares Android robustos e baratos. O “S200 X” é associado à Doogee e o “KINGKONG X”, à Cubot. O Hardware.com.br, que publicou o caso em 11 de outubro, lembra que nem todo aparelho dessas marcas está comprometido.
O relatório também não acusa uma fabricante. A Bitdefender diz que parte do firmware afetado foi assinada com certificados em nome da Shenzhen Zediel. Ela avisa que isso não prova que a empresa criou o código ou sabia dele. O código pode ter entrado por uma fabricante original, uma integradora de firmware, uma empresa de logística ou outro elo da cadeia. Não achei resposta das empresas citadas até esta publicação.
Também não há, no relatório, lista de modelos vendidos no Brasil nem contagem só do país.
O que o dono de um celular assim pode fazer?
Desinstalar não resolve, segundo a Bitdefender. O componente está na partição do sistema. A limpeza exige refazer o firmware ou desativar o app por um comando técnico chamado ADB. A empresa admite que nenhum dos dois caminhos é realista para a maioria das pessoas. A solução duradoura, diz o relatório, está com as fabricantes e com as lojas que vendem o aparelho.
O Hardware.com.br resume o que fazer com celulares Android nessa situação, a partir do relatório. A restauração de fábrica apaga apps, configurações e dados, mas pode não trocar os arquivos originais do sistema, então o código pode continuar lá. Quem suspeitar do aparelho deve evitar operações bancárias até que ele seja avaliado. Também pode pedir à loja ou à fabricante uma correção oficial, a troca ou o reembolso.
Antes de comprar, a Anatel mantém a consulta pública de produtos homologados, que cita o número de homologação. Pela página, certificados novos ficam no sistema Certifica e os mais antigos, no Mosaico/SCH. A consulta mostra se o modelo tem certificado. Nada na página da Anatel diz que ela confere o software de fábrica. Um selo regular, portanto, não prova que o firmware está limpo.
E os 13 aplicativos que estão na Google Play?
A campanha tem um segundo caminho. A Bitdefender achou 13 aplicativos na Google Play com o mesmo código de fraude de anúncios. Eles vêm de pelo menos duas contas de desenvolvedor, a fivedev e a CPS Developer. Entre os exemplos listados estão apps de clima, de leitura de texto em imagem e de bloqueio de aplicativos.
Esses apps passaram pela revisão da loja e têm a assinatura da Google, o que mostra que a origem deles é real. Eles não têm os poderes de sistema do outro grupo, segundo a Bitdefender. Mas podem exibir anúncios fora do aplicativo, até com o telefone sem uso.
Não confirmei se a Google já tirou esses 13 apps do ar.
O que ainda falta saber sobre a Midnight Mimosa?
Falta saber quem colocou o código nos celulares Android e em que ponto da cadeia. Falta saber também se os modelos citados são vendidos no Brasil e quantos brasileiros foram atingidos. Até lá, o dado firme é o do gráfico: 7,02% dos aparelhos detectados no mundo estavam aqui.
Tags
celulares Android
Conteúdo reproduzido originalmente em: clickpetroleoegas por Maria Heloisa Barbosa Borges.