Un malware preinstalado en Android puede comprometer un smartphone incluso antes de su primer uso. Integrado en el firmware, es decir, en el software del sistema suministrado con el dispositivo, puede disponer de privilegios elevados y resistirse a una desinstalación convencional. Para una empresa, el precio de compra, por tanto, no basta para evaluar un terminal: su procedencia, su mantenimiento mediante actualizaciones de software y su gestión mediante MDM también deben influir en la decisión.
¿Cómo puede instalarse un malware antes de comprar el teléfono?
Un malware preinstalado en Android puede añadirse al firmware durante la fabricación, la personalización o la distribución del terminal. El programa malicioso se convierte alors en una aplicación del sistema, a veces firmada con una clave de la plataforma. El usuario recibe un dispositivo ya comprometido, sin haber descargado ningún archivo ni haber accoredido él mismo a ninguna autororización.
El firmware es el conjunto de componentes de software que permiten al teléfono arrancar y ejecutar Android con su hardware. Incluye, entre otros elementos, el sistema operativo, los controladores y las adaptaciones del fabricante. Una aplicación presente en esta capa no está sujeta a las mismas restricciones que una aplicación descargada desde Google Juega.
El caso Midnight Mimosa ilustra este riesgo. Según la investigación publicada por Bitdefender el 8 de octubre de 2026, la actividad observada entre 2024 y 2025 afectaba a dispositivos Android de gama de entrada de varias marcas, basados en plataformas MediaTek. El componente malicioso estaba incorporado al firmware antes del primer uso.
Bitdefender indica haber observado miles de dispositivos únicos en más de 150 países entre 2024 y 2025, especialmente en Francia. No obstante, esta telemetría no ha sido confirmada por un conjunto de datos independiente publicado. En octubre de 2026, se desconocen tanto la responsabilidad de la modificación como la fase exacta de la cadena de suministro en la que se produjo.
¿Por qué una desinstalación no elimina la amenaza?
Desinstalar una aplicación visible no basta cuando el malware preinstalado en Android reside en una partición del sistema protegida. El componente persistente puede reinstalar cargas maliciosas, concederles permisos o cargar código remoto. Un restablecimiento de fábrica también puede restaurar el firmware comprometido en lugar de sanearlo.
En Midnight Mimosa, el componente principal era una aplicación persistente del sistema firmada por la plataforma. Según Bitdefender en 2026, podía instalar o eliminar paquetes de software, acceder a autorizaciones y cargar código remoto sin intervención del usuario. Para el periodo 2024-2025 se identificaron al menos 32 aplicaciones de carga útil camufladas.
Entre las funciones observadas se incluían la publicidad oculta, el fraude de clics y el uso del teléfono como proxy residencial. Un proxy residencial hace pasar el tráfico de un tercero por la conexión a internet del teléfono, que aparece entonces ante los servicios visitados como una dirección legítima. Esto puede consumir batería y datos, pero, sobre todo, asociar a la empresa con tráfico que no ha iniciado.
Nombres como com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot y com.android.sys.bcprot se observaron entre 2024 y 2025. Estos indicadores no constituyen un método de detección suficiente: los nombres variaban según las versiones del firmware. Es una trampa frecuente. La ausencia de un nombre conocido no demuestra que el dispositivo esté limpio.
Este mecanismo difiere de un malware de Android descargado que elude las protecciones bancarias. En este segundo escenario, eliminar la aplicación y corregir el vector de instalación pueden ser suficientes. Con un implante del sistema, hay que cuestionar la imagen de software completa.
¿Protege Android Verified Boot contra un firmware comprometido?
En 2026, Android Verified Boot comprueba la integridad de los componentes de arranque y de las particiones protegidas mediante una cadena de confianza anclada en el hardware. Esta protección detecta una modificación no autorizada, pero no garantiza que un firmware correctamente firmado por el proveedor no contenga ningún componente malicioso desde su origen.
La certificación de Android puede transmitir la clave de arranque, el estado de bloqueo del terminal, el estado del arranque verificado y la huella del sistema comprobado. El resultado responde a una pregunta concreta: ¿ejecuta el dispositivo la imagen esperada y firmada? No responde necesariamente a otra pregunta: ¿estaba esa imagen libre de amenazas desde su creación?
Por tanto, un paquete malicioso integrado en un firmware del proveedor y correctamente firmado puede aparecer como un elemento de confianza. Es el caso en el que la solución evidente —comprobar simplemente que el gestor de arranque está bloqueado— resulta insuficiente. Hay que cruzar la certificación con el modelo, la procedencia, el nivel de parches y la política de actualizaciones del fabricante.
Google Play Integrity aporta una señal complementaria. Según la documentación de Google de 2026, el veredicto MEETS_STRONG_INTEGRITY exige un dispositivo auténtico y certificado. En Android 13 o versiones posteriores, también exige que los parches de seguridad del sistema y de la partición del proveedor tengan menos de un año de antigüedad.
Ninguno de estos controles ofrece una garantía absoluta contra un malware preinstalado en Android. Su utilidad reside en la acumulación de señales y en el bloqueo automático de los dispositivos que incumplen la política, como en el control de las actualizaciones de software en la empresa.
¿Cómo elegir smartphones Android para una empresa?
Una política de compras defendible en 2026 limita el parque a modelos aprobados explícitamente, adquiridos a distribuidores documentados y acompañados de una fecha de finalización de las actualizaciones conocida. Cada dispositivo debe inscribirse en una herramienta MDM antes de utilizarse y rechazarse si no supera las reglas de integridad o de parches.
MDM, siglas de Mobile Device Management, es un servicio de administración centralizada de smartphones y tabletas. En 2026, Android Enterprise permite inventariar el hardware y el software, imponer Google Play Protect, controlar la integridad, restringir las fuentes de aplicaciones y bloquear o borrar un dispositivo de forma remota.
La siguiente tabla compara los controles más útiles antes de una compra profesional.
| Control | Riesgos cubiertos | Límite que hay que conocer | Decisión recomendada |
|---|---|---|---|
| Distribuidor documentado | Cadena de suministro opaca | Por sí solo, no demuestra la integridad del firmware | Rechazar vendedores sin trazabilidad |
| Fecha de finalización de los parches | Vulnerabilidades no corregidas | Una promesa debe supervisarse con el tiempo | Registrar el vencimiento en el inventario MDM |
| Android Verified Boot | Modificación del sistema sin firma | Acepta una imagen del proveedor correctamente firmada | Exigir un arranque bloqueado y verificado |
| Google Play Integrity | Dispositivo no certificado o demasiado antiguo | No realiza un análisis exhaustivo del firmware | Bloquear los dispositivos que incumplen la política |
| Gestión de Android Enterprise | Aplicaciones y ajustes no gestionados | Requiere inscripción antes de su uso | Inscribir el dispositivo desde su preparación |
Sinceramente, un smartphone muy barato no está justificado para un uso profesional sensible si su fabricante no publica claramente la duración del soporte. El ahorro inicial puede verse absorbido por la preparación manual, los incidentes, la sustitución anticipada y la imposibilidad de acceder a las herramientas profesionales.
En los proyectos que llevamos a cabo, a menudo vemos que el equipo elige el modelo y luego busca cómo administrarlo. El orden debería ser el inverso: definir los requisitos de MDM, integridad y duración del soporte, y después seleccionar los dispositivos que los cumplan. La misma lógica se aplica a la protección de datos y funciones sensibles de una aplicación móvil.
Una política aplicable se resume en cinco reglas verificables:
- autorizar únicamente una lista breve de modelos y versiones aprobados en 2026;
- comprar a distribuidores identificados y conservar las referencias del pedido;
- registrar la fecha prometida de finalización de las actualizaciones del firmware;
- inscribir cada dispositivo en el MDM antes de entregar el terminal al colaborador;
- bloquear automáticamente el acceso profesional en caso de fallo de integridad o de un nivel de parche insuficiente.
¿Qué hacer cuando un smartphone profesional parece estar comprometido?
Un smartphone del que se sospeche que contiene malware preinstalado en Android debe aislarse sin demora de los datos y servicios profesionales. A continuación, la empresa puede recopilar los registros disponibles, generar un informe de diagnóstico remoto y después bloquear o borrar el terminal. Si existen dudas sobre el firmware, eliminar la aplicación visible no constituye una remediación suficiente.
La prioridad es revocar las sesiones, los certificados y los tokens de acceso utilizados por el dispositivo. También hay que comprobar si el mismo modelo, la misma versión de software o el mismo lote existe en otros puntos del parque. Por parte de la agencia, la reacción adecuada es conservar la información útil para el análisis antes de borrar el dispositivo, sin permitir que el terminal siga comunicándose con los sistemas profesionales.
Según la documentación de Android Management de Google en 2026, las medidas compatibles incluyen el bloqueo del acceso, la recopilación de datos de seguridad o de un informe de errores remoto, así como el bloqueo y el borrado. Si el firmware es sospechoso, hay tres opciones más seguras: devolverlo al proveedor, reinstalar una imagen limpia obtenida de una fuente fiable o retirarlo definitivamente.
Una reinstalación solo es razonable si la imagen utilizada es distinta de la imagen comprometida y puede acreditarse su procedencia. Testimonios públicos publicados en 2026 indicaban que algunos paquetes sospechosos reaparecían después de su eliminación, e incluso después de una actualización oficial en un caso. Nunca se encontró una explicación pública correspondiente del fabricante.
Es necesario mantener la prudencia en torno a Midnight Mimosa. La confirmación técnica independiente sigue siendo escasa en octubre de 2026 y la mayor parte de la información disponible procede de la investigación de Bitdefender. Los indicadores son suficientemente serios para justificar controles, pero no para acusar sin pruebas a una marca, un subcontratista o todo un modelo.
Definir de antemano la compra, la inscripción y la retirada de los dispositivos evita la mayoría de las decisiones improvisadas después de un incidente. Una perspectiva externa también puede ayudar a relacionar las reglas de Android Enterprise con los accesos de la aplicación móvil y con las limitaciones reales de los equipos.
Preguntas frecuentes sobre el malware preinstalado en Android
¿Un restablecimiento de fábrica elimina un virus de Android?
Un restablecimiento de fábrica suele eliminar las aplicaciones y los datos del usuario, pero puede restaurar un malware presente en el firmware. En caso de que el sistema esté comprometido, es necesaria una imagen limpia verificada o retirar el teléfono.
¿Cómo saber si un teléfono Android está certificado por Google?
La certificación puede comprobarse en la información de Google Play Protect, mientras que Google Play Integrity permite a un servicio verificar la integridad de un dispositivo en 2026. No obstante, la certificación no constituye un análisis completo del contenido del firmware.
¿Google Play Protect detecta las aplicaciones del sistema maliciosas?
Google Play Protect analiza las aplicaciones y puede señalar comportamientos peligrosos, pero una aplicación del sistema privilegiada y firmada correctamente puede ser más difícil de neutralizar. Una empresa debe complementar Play Protect con la atestación, el MDM y una política de modelos aprobados.
¿Qué signos pueden revelar que un teléfono se utiliza como proxy residencial?
Un consumo inexplicable de datos, batería o recursos de red puede justificar un análisis, pero no constituye una prueba. Los registros de red, el inventario de paquetes y los datos de seguridad recopilados por el MDM proporcionan indicios más útiles.