Móviles Android con malware de fábrica: cómo saber si el tuyo lo tiene

Lo sacaste de la caja, metiste la SIM y pusiste tu cuenta de Google. Si era un Android barato de una marca que casi no conocías, puede que para entonces ya llevara dentro un programa que no sale en la pantalla de inicio y que no se puede desinstalar.

Lo ha destapado la empresa de ciberseguridad Bitdefender en un informe publicado el jueves 8 de octubre de 2026. Lo llama Midnight Mimosa, y es un malware que viene de fábrica en el firmware (el software con el que sale el móvil) de Android baratos con chip MediaTek. Lleva unos dos años en marcha y lo ha visto en miles de móviles de más de 150 países. Los modelos con más casos son dos todoterrenos, el Cubot KingKong X y el Doogee S200 X, y en la lista hay también imitaciones de Samsung y de iPhone. España es el séptimo país, con el 6,72 % de los móviles infectados que ha detectado.

A media mañana del viernes 9, ni Doogee ni Cubot ni Google habían respondido al informe en sus webs ni en los medios que lo han contado, y las 13 apps de Google Play que Bitdefender relaciona con la misma red seguían en la tienda española. ¿Cómo sabes si tu móvil es uno de ellos? Antes conviene entender qué hace.

Qué hace Midnight Mimosa en tu móvil

El centro de todo es una app de sistema que, en la versión que analizó Bitdefender, se llama «System» y no tiene icono. Va firmada con las claves del propio firmware, así que tiene permisos que ninguna app normal consigue. Con ellos, y sin preguntarte nada, puede hacer cuatro cosas.

• Instalar y borrar apps. Bitdefender ha contado al menos 32, disfrazadas de apps del tiempo, de bloqueo, de notas o de edición de audio, y las va rotando para que ninguna esté mucho tiempo a la vista.
• Darse permisos a sí misma y a esas apps, entre ellos los de accesibilidad, notificaciones y SMS.
• Descargar y ejecutar código nuevo que le manda su servidor, disfrazado de servicio del tiempo.
• Enviar a ese servidor el IMEI, el identificador de Android y la dirección MAC del móvil.

El negocio es la publicidad. Las apps que instala cargan anuncios reales en ventanas invisibles y simulan clics, y las redes de anuncios pagan por impresiones que nadie ha visto. Para que no lo pille Play Protect, el escáner de seguridad de Google que trae Android, desactiva la tienda de Google Play justo antes de cada instalación y la vuelve a activar después. Algunas versiones, además, hacen que la app parezca descargada de Google Play.

Lo más delicado son los permisos de accesibilidad, notificaciones y SMS. Bitdefender no vio que los usara, pero se los activa solo y se pueden poner en marcha a distancia. Con ellos se puede leer lo que sale en pantalla, las notificaciones de tus chats y los códigos de un solo uso, los mismos que persigue quien pide un duplicado de tu SIM. Por los servidores que comparte, Bitdefender lo emparenta con una familia que ya en 2021 apuntaba a sus víctimas a servicios de SMS de pago.

¿Quién lo mete en el firmware? Bitdefender no lo sabe. Puede ser el fabricante que hace los móviles para otras marcas, quien prepara el firmware, la logística u otro intermediario. Parte del firmware infectado va firmado con certificados de Shenzhen Zediel, un fabricante chino, aunque Bitdefender advierte de que eso no prueba que la empresa lo supiera.

¿Qué es un proxy residencial y por qué te puede meter en líos?

Un proxy es un intermediario. El tráfico de otra persona sale a internet a través de él, y la web a la que llega ve la dirección del intermediario en lugar de la suya. Uno residencial usa conexiones de casas y de móviles corrientes, con la IP de una fibra o de una tarifa móvil, como explica Google. Hay empresas que venden ese acceso, y parte de los aparatos que lo prestan están infectados sin que sus dueños lo sepan.

Midnight Mimosa instala una app sin icono, «Locket», que da de alta el móvil como nodo de salida de una red así y espera órdenes de su servidor. En la prueba de Bitdefender, el servidor aceptó el alta pero no mandó ningún encargo, de modo que no llegó a ver tráfico ajeno pasando por el móvil. La puerta, eso sí, queda montada.

¿Por qué te importa? Lo que hagan otros a través de tu móvil sale con tu IP. En una sola semana de enero de 2026, Google vio a más de 550 grupos de ciberdelincuentes y de espionaje escondidos tras IPIDEA, una red de proxies residenciales contra la que actuó ese mes. Si tu IP aparece en esos registros, las webs pueden marcarla como sospechosa o bloquearla, y quien siga el rastro de un fraude verá primero tu línea. Desde el nodo, además, se puede llegar a otros aparatos de tu red de casa, avisan Google y Bitdefender. Y gasta tu conexión, y tus datos si vas con la tarifa del móvil.

Los móviles que más se repiten

Bitdefender no da una lista cerrada de modelos, porque muchos móviles infectados dicen ser lo que no son. En su lugar, publica los nombres de modelo que más se repiten entre los casos que ha visto en dos años.

Nombre que da el móvil	Qué es	Parte de los casos
KINGKONG X	Cubot KingKong X, un todoterreno con chip MediaTek Dimensity 7050	11,33 %
S200 X	Doogee S200 X, otro todoterreno con el mismo chip	4,08 %
KINGKONG 9	El nombre de otro todoterreno de Cubot	3,35 %
S25 ULTRA	Imitaciones del Samsung Galaxy S25 Ultra	2,91 %
SM-S938B	El código del Galaxy S25 Ultra, en móviles que no son de Samsung	2,54 %
Seis nombres acabados en _EEA	Firmware de marca blanca para el Espacio Económico Europeo	6,78 % entre los seis

La terminación _EEA marca versiones regionales para el Espacio Económico Europeo, al que pertenece España. Entre las imitaciones salen también «i17 Pro Max», «Note 18 Ultra» o «Magic 15 MAX», que copia a Honor. Cubot y Doogee venden sus todoterrenos por internet en España, pero que un modelo esté en la tabla no significa que lleven el malware todas sus unidades. Depende de la versión del firmware, como descubrieron este verano sus dueños.

Los porcentajes son de los casos que ha detectado Bitdefender con sus productos, y Bitdefender vende antivirus para móviles. Sirven para ver por dónde va el problema, no para contar cuántos móviles infectados hay en España.

Las 13 apps de Google Play con el mismo código

La red no vive solo en el firmware. Bitdefender encontró 13 apps en Google Play con el mismo código de fraude publicitario, que hablan con los mismos servidores y muestran anuncios fuera de la app, a veces con el móvil en reposo. No tienen los poderes del componente de sistema y se borran como cualquier otra, pero llegan a cualquier Android, sea barato o no. Las publican varias cuentas de desarrollador, entre ellas fivedev y cps, y a media mañana del viernes 9 seguían en la tienda española, con más de 1,4 millones de descargas entre todas.

App	Paquete	Descargas
Daily Weather	com.dmstudio.weather	Más de 1 millón
App Icon DIY	appicon.diy.tools.prop	Más de 100.000
All Deleted Messages Recovery	com.message.recovery.prorestore	Más de 100.000
CoolWeather	com.cool.weather.yl	Más de 100.000
Lock & Hide	com.dl.guard.lock	Más de 100.000
Wavrge	com.audify.editor.wavrge	Más de 50.000
Audify	com.audify.editor.pro	Más de 10.000
WeatherGo	com.go.weather.mot	Más de 10.000

Si tienes alguna, desinstálala desde Ajustes, en Aplicaciones. Fíjate en el paquete más que en el nombre, porque hay muchas apps del tiempo que se llaman igual. En Google Play, el paquete es lo que va detrás de «id=» en la dirección de la ficha.

Lo que contaban los dueños de Cubot y Doogee desde julio

Bitdefender cita un hilo del foro XDA, uno de los grandes foros de Android, que abrió el 2 de julio de 2026 el dueño de un Cubot KingKong X. Su antivirus le avisaba de una app llamada «System» que reaparecía cada vez que la borraba. Después se sumaron dueños de un KingKong 9 y de varios Doogee, con apps que se reinstalaban solas de madrugada, Play Protect apagado y anuncios a pantalla completa. Uno de los paquetes del hilo, com.android.non.szcz, está en la lista de Bitdefender.

Según contó un usuario, el soporte de Cubot le mandó una actualización que «elimina el virus» en el KingKong X y el KingKong 9, y le explicó por correo que una interfaz interna de pruebas se había colado por error en el firmware de serie. A los dueños de Doogee, su soporte les respondió entre finales de julio y primeros de agosto que el problema se había resuelto con una actualización. Uno de ellos, con un Fire 3 Max, contó que el programa que instalaba el malware le había llegado con una actualización oficial de junio y se fue con otra de finales de julio. Ninguna de las dos marcas lo ha explicado en su web.

Cómo saber si tu móvil lo tiene

Ninguna de estas comprobaciones lo confirma del todo, pero en un par de minutos te dan pistas.

1. Mira el modelo y lo que pagaste. Un «Galaxy S25 Ultra» que no vende Samsung, o un «iPhone 17 Pro Max» con Android, es una imitación, y las imitaciones son buena parte de los casos.
2. Comprueba que Play Protect sigue encendido. En la app de Google Play, toca tu foto de perfil, entra en Play Protect y, en la rueda de ajustes, mira la opción «Analizar aplicaciones con Play Protect». Si está apagada y tú no la apagaste, mala señal. Actívala y pulsa «Analizar».
3. Busca una app llamada «System». En Ajustes, entra en Aplicaciones, abre la lista completa y, en el menú de los tres puntos, elige «Mostrar sistema» (cambia un poco según la marca). En un móvil en español, las piezas de Android salen traducidas, como «Sistema Android». Una «System» o una «Android System» en inglés y sin icono merece una segunda mirada.

Que no veas nada raro tampoco garantiza que el móvil esté limpio. La app cambia de nombre de una versión a otra, y entre las 120 muestras de Bitdefender hay copias con el nombre interno de apps normales de Android, como el navegador, el reloj, la galería o los ajustes. Para esas hace falta un antivirus que vigile lo que hacen las apps y, para quitarlas, un firmware limpio del fabricante.

Qué hacer si lo encuentras

Las apps que aparezcan sin que las instalaras, como las de bloqueo o las del tiempo, se desinstalan desde Ajustes, aunque el componente de sistema puede volver a meterlas. A ese componente no lo echa ni restablecer el móvil de fábrica, porque vive en la parte del sistema que el reseteo no toca.

• Busca una actualización del sistema en Ajustes (suele estar en Sistema). Cubot y Doogee las mandaron este verano, según sus dueños. Después, repite la comprobación.
• Mientras no esté limpio, no uses ese móvil para el banco ni para recibir códigos de verificación. Bitdefender no vio robos de datos, pero los permisos están ahí.
• Si nada de eso funciona, toca reclamar.

Qué puedes reclamar en España

La ley de consumidores exige que un móvil tenga la seguridad que cabe esperar de uno de su tipo (artículo 115 ter), y uno que sale de fábrica con un programa que instala apps a escondidas difícilmente la tiene. La misma ley obliga al vendedor a hacerte llegar las actualizaciones de seguridad necesarias. Lo que puedes pedir depende de cuándo lo compraste.

• Si lo compraste por internet y lo recibiste hace menos de 14 días naturales, puedes devolverlo sin dar explicaciones. Es el derecho de desistimiento (artículos 102 y 104).
• Después tienes la garantía legal, de tres años desde la entrega para lo comprado desde 2022 (artículo 120). En los dos primeros años, la ley presume que el fallo ya estaba cuando te lo entregaron, y no tienes que demostrarlo tú (artículo 121).
• Puedes elegir que te lo reparen, con un firmware limpio, o que te lo cambien, sin coste (artículo 118). Si no lo arreglan en un plazo razonable o el malware vuelve, puedes pedir una rebaja o devolverlo y recuperar el dinero (artículo 119).

La reclamación va a quien te lo vendió (artículo 117), que en una tienda online con vendedores externos es el que figura en la factura. Solo si dirigirte a él es imposible o una carga excesiva puedes ir al fabricante (artículo 125). Instala antes las actualizaciones que tengas, porque la ley libra al vendedor de lo que habría arreglado una actualización de la que te avisó. Reclama por escrito, con la factura, el enlace al informe de Bitdefender y una captura de lo que encontraste, desde la app o la web de la tienda y nunca desde un enlace que te llegue por SMS o por correo.

Si no te contestan o no te dan la razón, el Ministerio de Derechos Sociales, Consumo y Agenda 2030 indica tres caminos: una asociación de consumidores, la oficina municipal de información al consumidor (OMIC) o el organismo de consumo de tu comunidad. Si la empresa está en otro país de la Unión Europea, en Noruega o en Islandia, te ayuda el Centro Europeo del Consumidor en España. Con un vendedor de fuera de la UE es más difícil, y conviene empezar por el sistema de reclamaciones de la propia tienda online.

Antes de comprar un Android barato

Con la memoria encareciendo los móviles, un Android con una batería enorme y mucha RAM de una marca que casi no conoces puede parecer un chollo. Antes de pagarlo, mira unas cuantas cosas.

• Desconfía de los nombres de gama alta a precio de gama baja. Un «S25 Ultra» que no vende Samsung es una imitación.
• Mira quién lo vende. En las tiendas online con vendedores externos, de la garantía responde el vendedor de la ficha, y si está en la UE reclamar es mucho más fácil.
• Nada más encenderlo, comprueba la certificación de Play Protect en Google Play, desde tu foto, Ajustes e Información. Google avisa de que los móviles sin certificar pueden no ser seguros ni recibir actualizaciones, y tanto Google como el FBI aconsejan aparatos certificados de fabricantes conocidos. Es lo mínimo, pero no garantiza nada, porque Midnight Mimosa va en el firmware.
• Mira la fecha del último parche de seguridad, en Ajustes, Información del teléfono, Versión de Android. Un móvil recién salido de la caja con un parche de hace muchos meses dice mucho de su fabricante.
• Busca el modelo junto a la palabra malware en foros como XDA antes de pagar, y repasa el móvil con los pasos de arriba en los primeros días, mientras todavía puedes devolverlo.

Sacarlo de la caja, meter la SIM y poner tu cuenta de Google seguirá siendo lo primero que hagas con un móvil nuevo. Si es un Android barato de una marca que casi no conoces, que lo segundo sea abrir Play Protect y la lista de apps del sistema, con los 14 días para devolverlo todavía por delante.

Fuentes

• Bitdefender Labs: «The phone was compromised before the user turned it on: the rise of Midnight Mimosa», de Adrian Mihai Gozob y Alex Baciu (8 de octubre de 2026), con sus gráficos de países y de modelos, la lista de apps de Google Play y los indicadores de compromiso.
• Google Play: fichas de las 13 apps en la tienda española, consultadas el 9 de octubre de 2026.
• XDA Forums: hilo sobre com.android.sys.extplv en el Cubot KingKong X (desde el 2 de julio de 2026).
• BleepingComputer: móviles Android baratos con malware de proxy residencial (8 de octubre de 2026). The Record: miles de Android baratos con malware de fraude publicitario (8 de octubre de 2026).
• Google Threat Intelligence Group: la red de proxies residenciales IPIDEA (28 de enero de 2026). FBI: aviso I-060525-PSA sobre los aparatos conectados de casa (5 de junio de 2025).
• BOE: texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007, artículos 102, 104, 115 ter, 117 a 121 y 125, en su versión vigente desde el 1 de enero de 2022).
• Ministerio de Derechos Sociales, Consumo y Agenda 2030: cómo reclamar. Centro Europeo del Consumidor en España.
• Ayuda de Google Play: Google Play Protect y certificación de Play Protect.
• Fichas técnicas oficiales del Cubot KingKong X (cubot.net) y del Doogee S200X (doogee.com), consultadas el 9 de octubre de 2026.
• Imagen de portada: ilustración de Ping Cero (el móvil, el bicho y el texto) con una foto al microscopio de un chip, de Jan Helebrant (Wikimedia Commons), de dominio público (CC0 1.0); la foto está girada y recortada.