Celular barato com vírus de fábrica: como saber se o seu está infectado e quais comprar sem esse risco

Tem celular Android que já sai da fábrica com vírus. Não é golpe de link nem app baixado de site estranho: o código vem gravado no sistema, antes de o dono ligar o aparelho pela primeira vez, e não sai nem com a restauração de fábrica. A Bitdefender, empresa de antivírus, publicou em 8 de outubro a análise dessa campanha, que ela chamou de Midnight Mimosa, e o Brasil aparece entre os países com mais aparelhos infectados: 7,02% dos casos achados em dois anos, em mais de 150 países.

Um dos disfarces é o nome de celular caro. Entre os aparelhos infectados estão celulares que se apresentam ao sistema como “S25 Ultra”, “S24 Ultra” e “i17 Pro Max” sem ter nada de Samsung ou de Apple. Na tarde de 9 de outubro, a Shopee tinha um “S25 Ultra 5G” de “16 GB + 1 TB” por R$ 481,16, com mais de 5 mil vendidos. O Galaxy S25 Ultra de verdade custava R$ 5.554 na Amazon, onde era o 5º eletrônico mais vendido da loja no mesmo dia.

Abaixo, o que esse vírus faz, como conferir o seu celular em cinco minutos, o que fazer se achar e quais dos celulares baratos mais vendidos no Mercado Livre e na Amazon não entram nessa história. Eles também usam chip MediaTek, e eu explico por que o chip não é o problema.

O essencial em 30 segundos

• O que é: um malware gravado no firmware (o sistema que o fabricante instala) de celulares Android baratos. A Bitdefender chamou a campanha de Midnight Mimosa e publicou a análise em 8 de outubro de 2026.
• Onde aparece: em celulares genéricos e réplicas com nome de top de linha (“S25 Ultra”, “i17 Pro Max”), com chip MediaTek, vendidos em marketplaces. Duas marcas reais de celular robusto, Doogee e Cubot, aparecem entre os modelos com mais casos.
• O que faz: instala e apaga apps sozinho, abre e clica em anúncios escondidos e usa a sua internet como ponte para o tráfego de outras pessoas, sem pedir nada.
• Brasil: 7,02% dos aparelhos infectados, logo atrás de México, França, Itália, Estados Unidos e Alemanha.
• Como tirar: restauração de fábrica não resolve. A saída segura é devolver o aparelho (7 dias para compra pela internet) ou trocar por um de marca com atualização de segurança.
• Galaxy e Moto vendidos no Brasil: não aparecem no relatório. O sistema deles é da própria Samsung e da Motorola, assinado por elas e com prazo de atualização de segurança publicado.

O que o vírus faz no celular

O vírus se passa por uma peça do Android, um app chamado só “System” (o nome técnico é com.android.system.lite, com variações como com.android.sys.prot e com.android.sys.gmsprot). Como vem assinado como parte do sistema, ele tem poderes que nenhum app comum tem: instala e desinstala outros apps sem mostrar aviso, dá permissões a eles e roda código mandado de fora, por servidores que mudam o que o celular faz a qualquer hora.

• Instala apps de fachada, que parecem úteis (cadeado de apps, previsão do tempo, gerenciador de arquivos, tradutor de texto em foto), e troca esses apps de tempos em tempos para não ficarem muito tempo na lista.
• Abre anúncios sem você pedir, em tela cheia ou por cima do app aberto, quando a tela acende, e simula os cliques para os golpistas receberem por anúncio. A tela do anúncio é marcada como protegida, então nem aparece em print.
• Empresta a sua internet: transforma o celular em ponte (proxy residencial), e outras pessoas navegam pela sua conexão e pelo seu IP. O aparelho passa a fazer parte de uma rede de robôs, a botnet, que pode ser alugada para ataques.
• Desliga a Play Store por um instante antes de cada instalação, para o Play Protect do Google não ver, e religa logo depois.

Nas amostras que analisou, a Bitdefender não viu roubo de dados: o negócio é ganhar dinheiro com anúncio e com a conexão dos outros. Mas o componente se dá acesso à acessibilidade (que lê a tela e o que você digita), às notificações e aos SMS, que é por onde chegam os códigos de verificação, e quem controla o aparelho pode passar a usar isso quando quiser. Por isso, celular suspeito não deve ter app de banco nem receber código de verificação.

Quais celulares têm o vírus

A Bitdefender não publicou uma lista de modelos à venda, e explica por quê: nesses aparelhos, o nome do modelo é inventado. O que o relatório mostra são os nomes que os celulares infectados informam ao sistema:

• réplicas de Samsung: “S25 Ultra”, “S24 Ultra”, “S26 Ultra” e “Note 18 Ultra”. Alguns chegam a informar o código de um Galaxy S25 Ultra de verdade, SM-S938B, sem ser Samsung;
• réplicas de iPhone e iPad: “i17 Pro Max”, “i16_Pro_Max”, “17_Pro_Max” e um “iPadAirPro”, que são Android com cara de iPhone;
• outras imitações: um “Magic 15 MAX” com nome da Honor e celulares “Ultra” sem marca;
• firmwares genéricos com nomes como J10_EEA, A9_EEA, T13_EEA e Q6_EEA, e placas com o chip MediaTek MT6762;
• duas marcas reais: os modelos com mais aparelhos infectados foram o “S200 X”, associado à Doogee, e o “KINGKONG X”, associado à Cubot, duas marcas chinesas de celular robusto.

Parte do firmware infectado é assinada com um certificado em nome da Shenzhen Zediel, fabricante chinesa de tablets e celulares, mas a própria Bitdefender diz que isso não prova que a empresa colocou o vírus: ele pode entrar em qualquer ponto da cadeia, da montadora ao distribuidor. Também não quer dizer que todo Doogee ou Cubot esteja infectado. O relatório mostra o modelo que apareceu na telemetria, não o lote, e o Doogee S200X, por exemplo, está à venda no Mercado Livre por R$ 3.247 a R$ 3.959.

O que achei à venda no Brasil com nome de S25 Ultra

Na tarde de 9 de outubro, procurei “S25 Ultra” nas lojas, do mais barato para o mais caro, entre R$ 250 e R$ 2.500. Esta é a faixa de preço em que um top de linha de verdade não existe: o Galaxy S25 Ultra novo começava em R$ 5.554.

• Shopee: um “S25 Ultra 5G Android Phone Gaming Celular 108MP Câmera Wifi 16GB + 1TB” por R$ 481,16, com mais de 5 mil vendidos (as opções do anúncio e as avaliações falam em 8 GB + 256 GB, e a única avaliação de 1 estrela diz “item diferente da descrição”); uma fileira de “S25 Ultra” da marca Bobarry por R$ 1.188,64, que dizem ter o chip Dimensity 9400, o mesmo de celulares de R$ 5 mil; e “S26 Ultra” de outras marcas por R$ 500,48 a R$ 799,48.
• Mercado Livre: um “Celular S25 Ultra 5G, Smartphone 512GB, 16GB RAM” por R$ 1.380, da Bobarry Smart, com nota 3,0 em 23 avaliações e o modelo “A8-BK-S25Ultra-BL” na ficha técnica.
• Amazon: nenhum aparelho. A busca por “S25 Ultra” do mais barato para o mais caro só trouxe capinha e película.

Nenhum desses é Samsung. Não dá para dizer que esses aparelhos têm o Midnight Mimosa sem abrir o sistema de cada um, e eu não comprei nenhum para testar. Mas eles têm o perfil que o relatório descreve: nome de top de linha, ficha que não fecha com o preço (1 TB de memória por R$ 481 não existe) e fabricante desconhecido ou fora do título.

Como saber se o seu celular tem vírus de fábrica

Vírus de fábrica foi feito para não aparecer, então nenhum sinal sozinho prova nada. Mas dá para separar em cinco minutos um celular de marca, com sistema certificado, de um aparelho que merece desconfiança:

1. Confira o modelo de verdade. Em Configurações > Sobre o telefone, veja o nome e o modelo e compare com a caixa e com a nota fiscal. Se o celular diz que é “S25 Ultra” e custou menos de R$ 1.500, é réplica. Na dúvida, um app de informações do aparelho, como o CPU-Z, mostra o chip: o S25 Ultra de verdade usa Snapdragon 8 Elite; réplica costuma mostrar um MediaTek simples.
2. Veja se o Google certificou o aparelho. Abra a Play Store, toque no ícone do seu perfil, no canto superior direito, e vá em Configurações > Sobre > Certificação do Play Protect. “Dispositivo não certificado” quer dizer que o Google não tem registro do teste de compatibilidade daquele sistema, e a própria ajuda do Google avisa que esses aparelhos “talvez não sejam seguros”. Certificado não é garantia de aparelho limpo, mas não certificado é sinal vermelho.
3. Olhe a data da atualização de segurança. Em Configurações > Sobre o telefone (ou Atualização de software), procure “Nível do patch de segurança” ou “Atualização de segurança do Android”. Data de anos atrás, ou que nunca muda, é sinal de fabricante que não cuida do aparelho.
4. Revise a lista de apps. Em Configurações > Apps, procure o que você não instalou: cadeado de apps, previsão do tempo, gerenciador de arquivos, editor de áudio ou tradutor de foto que apareceram sozinhos. Desinstale. Se voltarem dias depois, o problema está no sistema.
5. Rode o Play Protect. No mesmo menu do perfil, toque em Play Protect e peça a verificação. Ele pode não enxergar o componente de sistema (é para fugir dele que o vírus desliga a Play Store durante as instalações), mas confere os outros apps.

E fique de olho nos sinais que a própria Bitdefender lista:

• anúncio aparecendo por cima de outros apps, ou em tela cheia quando você desbloqueia o celular;
• app que você não lembra de ter instalado;
• bateria acabando de repente e consumo de dados móveis fora do normal;
• celular esquentando sem motivo;
• Play Store que parece desligar e religar sozinha;
• nome de modelo que não bate com o que você comprou.

Propaganda pulando na tela também pode ser app comum com adware ou bateria cansada. Para o caso comum, o passo a passo está em como saber se seu celular foi hackeado.

Dá para tirar esse vírus do celular?

Vírus de app comum sai desinstalando o app ou restaurando o celular. Este não: o componente fica na parte do sistema que o dono não consegue apagar, e a própria Bitdefender avisa que desinstalar ou restaurar de fábrica não basta. Ela também desaconselha baixar firmware não oficial ou seguir tutorial de “remoção rápida” achado na internet, que pode piorar a situação ou deixar o aparelho inutilizável.

Antivírus ajuda a apontar o problema (foi o antivírus da própria Bitdefender que achou o componente, pelo comportamento), mas não consegue arrancar uma peça do sistema. Na prática, celular com vírus de fábrica se devolve ou se troca.

Achei: o que fazer agora

• Tire dele o que é sensível: app de banco, autenticador e o chip que recebe código por SMS. Troque as senhas que você usou nele a partir de outro aparelho.
• Salve fotos e arquivos, mas não restaure apps nem configurações no celular novo, como recomenda a Bitdefender.
• Junte as provas: print da tela Sobre o telefone, da certificação do Play Protect e da lista de apps que apareceram sozinhos.
• Peça a devolução pela própria compra (Shopee, Mercado Livre, AliExpress), com essas provas.

Os prazos estão no Código de Defesa do Consumidor. Comprou pela internet, você pode desistir em até 7 dias depois de receber, sem dar motivo (art. 49). Passou disso, vírus de fábrica é vício do produto: em aparelho durável, o prazo para reclamar é de 90 dias e, como o defeito é escondido, conta a partir de quando você o descobre (art. 26). O vendedor tem até 30 dias para resolver; se não resolver, você escolhe entre outro aparelho, o dinheiro de volta ou abatimento no preço (art. 18). Se a plataforma não andar, o consumidor.gov.br e o Procon da sua cidade recebem a reclamação.

Celular vendido no Brasil precisa de homologação da Anatel, e desde 2024 a agência cobra dos marketplaces o número de homologação em todo anúncio de celular. Uma resolução de agosto de 2025, a 780, foi além: a plataforma responde junto com o vendedor pelo produto que anuncia, inclusive por conferir se o número é válido. Ter o número no anúncio não prova que o aparelho está limpo, mas é mais um argumento na reclamação: a loja que vendeu também responde.

Chip MediaTek não é o problema

O vírus apareceu em aparelhos com chip MediaTek, e quatro dos seis celulares mais vendidos do Mercado Livre hoje também usam MediaTek: o Helio G99 no Galaxy A07 e no Galaxy A17 4G, e o Helio G81 Extreme no Moto G06 e no Moto G17. Não é contradição. O chip é só o processador; o que carrega o vírus é o firmware, o sistema que o fabricante grava no aparelho. No Galaxy e no Moto, esse sistema é da própria Samsung e da Motorola, assinado com a chave delas e com prazo de atualização de segurança publicado. O que a Bitdefender achou são firmwares de montadoras sem nome, que circulam em vários aparelhos genéricos ao mesmo tempo.

Como comprar celular barato sem levar vírus junto

• Marca conhecida, vendida por quem responde por ela: a própria loja (Amazon, Magalu) ou a loja oficial da marca dentro do marketplace. No Mercado Livre, o selo é “Loja oficial”; na Amazon, “Enviado e vendido por Amazon”.
• Preço que fecha com a ficha: top de linha de verdade custa a partir de uns R$ 4 mil; 16 GB + 1 TB por R$ 481 não existe.
• Prazo de atualização por escrito: quantos anos de segurança o fabricante promete. O Galaxy A07 e o Galaxy A17 4G têm seis anos, até 2031; o Moto G06 vai até agosto de 2027 e o Moto G17 até janeiro de 2028, pelas páginas de segurança das marcas.
• Homologação da Anatel no anúncio e na caixa, e conferida no site da agência (o número também pode ser copiado).
• Avaliações de 1 estrela: “não é o que diz”, “propaganda aparecendo sozinha”, “esquenta” e “travou” valem mais que as notas altas.

Para escolher pelo resto (tela, câmera, bateria, memória), o guia completo está em celular até R$ 1.500: o que olhar.

Comparativo rápido

1. Galaxy A07: o Samsung mais barato da loja, com sistema da Samsung e atualização por escrito

Na Amazon, a versão de 128 GB com 4 GB de RAM, vendida e entregue por ela, saía por R$ 798,99 na tarde de 9 de outubro. A de 256 GB com 8 GB, que eu prefiro para quem guarda muita foto e vídeo de WhatsApp, estava por R$ 835,58 no Mercado Livre, vendida pela loja oficial do Magalu, e por R$ 989,10 no Pix no site do Magalu.

O que interessa aqui: o sistema é a One UI da Samsung, com até seis atualizações de Android e seis anos de atualização de segurança prometidos por escrito (o site oficial dá até a data: 31 de agosto de 2031). É o oposto do perfil do relatório: mesmo chip MediaTek dos genéricos, mas com firmware de quem responde por ele.

O que eu tiro disso: 88% das avaliações da Amazon dão 5 estrelas e 3% dão 1. O elogio é rodar o básico sem drama pelo preço; as queixas são lentidão com muito app aberto e um caso sério que vale para qualquer celular: aparelho que chega com conta de outra pessoa foi usado antes e tem de voltar na hora, pela devolução da própria compra.

2. Galaxy A17: o mais vendido do Mercado Livre, com tela AMOLED e seis anos de segurança

No Mercado Livre, o anúncio de 256 GB tinha duas ofertas na tarde de 9 de outubro: R$ 1.140 de um vendedor parceiro (CG Center Games, MercadoLíder, com entrega entre 23 e 25 de outubro no meu CEP) e R$ 1.254,66 da loja oficial da Samsung. Na Amazon, a de 256 GB saía por R$ 1.214, também de vendedor parceiro, e no Magalu, vendida por ele, por R$ 1.349,10 no Pix. Aqui a diferença de quem vende pesa: na loja oficial, quem emite a nota e responde pela venda é a própria Samsung, e duas das avaliações críticas do A17 na Amazon reclamam de nota fiscal que não veio.

A Samsung promete para o A17 as mesmas seis atualizações de Android e seis anos de segurança do A07 (até 30 de setembro de 2031, pelo site oficial). Só não confunda com o Galaxy A17 5G, que é outro modelo, com chip Exynos e preço mais alto.

O que eu tiro disso: 89% de 5 estrelas e 2% de 1 estrela na Amazon. É o celular que muita gente compra para os pais: tela AMOLED grande, memória de sobra e atualização longa. A câmera é o ponto fraco nos comentários, e o aviso da terceira avaliação vale: o A17 dos mais vendidos é o 4G; o 5G é outro modelo, mais caro.

3. Moto G06: o mais barato da lista, mas com segurança só até 2027

A versão de 256 GB custava R$ 789,90 nas três lojas na tarde de 9 de outubro: na Amazon, vendida por ela; no Mercado Livre, pela loja oficial da Motorola; e no Pix no Magalu. A de 128 GB saía por R$ 698,40 na loja oficial da Motorola no Mercado Livre e por R$ 776 na Amazon.

O ponto fraco é o prazo. Pela página de segurança da Motorola, o G06 recebe atualização de segurança até agosto de 2027, dois anos depois do lançamento. Para quem quer ficar quatro ou cinco anos com o mesmo celular, o Galaxy A07 custa quase o mesmo e tem segurança garantida até 2031.

O que eu tiro disso: 88% de 5 estrelas e 2% de 1 estrela na Amazon. Elogiam a bateria e a tela grande; a queixa repetida é lentidão para trocar de app, o preço de ter 4 GB de RAM. E repare na segunda avaliação: apps de parceiros que se instalam quando você põe o chip são normais e saem com um toque. O vírus do relatório é o oposto: some e volta sozinho.

4. Moto G17: câmera Sony de 50 MP, mas sem Android novo prometido

Saía por R$ 799 na loja oficial da Motorola no Mercado Livre e por R$ 831,03 na Amazon, vendido por ela, na tarde de 9 de outubro (versão de 128 GB com 4 GB de RAM).

E o prazo é curto: a Motorola lançou o G17 no Brasil em janeiro de 2026, com Android 15, prometeu segurança por dois anos e não anunciou nenhuma versão nova de Android, como apurou o Oficina da Net. A página de segurança da Motorola marca o fim em janeiro de 2028. É menos da metade do que a Samsung promete para o Galaxy A07, que custa o mesmo.

O que eu tiro disso: é o mais novo da lista e o que tem a nota mais baixa: 86% de 5 estrelas e 5% de 1 estrela na Amazon, com reclamação de lentidão nas críticas. Vale pela tela Full HD+ e pela câmera com sensor Sony, mas, para quem só quer bateria e WhatsApp, o Moto G06 faz o mesmo por menos.

5. Galaxy S25 Ultra de verdade: R$ 5.554, e não R$ 481

Vendido e entregue pela Amazon, saía por R$ 5.554 na tarde de 9 de outubro, com o preço de lançamento riscado em R$ 10.999. No Mercado Livre, a loja oficial da Samsung vendia por R$ 5.643. É esse o celular que as réplicas imitam: quem quer um S25 Ultra e acha um por R$ 481 está olhando para outro aparelho.

A Samsung promete sete anos de atualização de Android e de segurança para a linha S25, e a One UI 9 estável chegou ao S25 Ultra vendido no Brasil em 8 de outubro, como contei no post sobre quais Galaxy recebem a One UI 9. Réplica nenhuma recebe isso.

O que eu tiro disso: 92% de 5 estrelas e 3% de 1 estrela na Amazon. Os elogios são fluidez, zoom e tempo de atualização; as críticas vêm de quem esperava um salto de câmera sobre os Ultra anteriores. Para quem não precisa da caneta nem do zoom de 5x, o Galaxy S25 FE custa bem menos e está no post sobre onde o mesmo Galaxy sai mais barato.

Os 13 apps do Google Play com o mesmo código

O mesmo código de fraude com anúncios também estava em 13 apps publicados no Google Play, em contas de desenvolvedor diferentes. Nesses, o app não tem os poderes de sistema, mas carrega e mostra anúncio fora dele. Conferi cada um na Play Store brasileira em 9 de outubro:

Os 13 seguiam disponíveis na Play Store brasileira na tarde de 9 de outubro, um dia depois do relatório, e o mais baixado, o Daily Weather, passa de 1 milhão de downloads. Se você tem algum deles, desinstale: nesses casos, desinstalar resolve, porque o app baixado da loja não tem os poderes de sistema do componente de fábrica. Como reconhecer app falso antes de instalar: o passo a passo está aqui.

Perguntas frequentes

Restaurar o celular de fábrica tira o vírus Midnight Mimosa?

Não. O componente fica na parte do sistema que a restauração não apaga e volta a instalar os apps de fachada. A saída segura é devolver ou trocar o aparelho; a Bitdefender desaconselha firmware não oficial e tutorial de remoção achado na internet.

Antivírus resolve?

Ajuda a apontar o problema, mas não remove uma peça gravada no sistema. Serve para confirmar a suspeita antes de pedir a devolução.

Celular com chip MediaTek é perigoso?

Não por causa do chip. O vírus está no firmware de montadoras sem nome. Galaxy e Moto com MediaTek usam o sistema da Samsung e da Motorola, assinado e atualizado por elas.

O Galaxy A07 ou o Moto G06 têm esse vírus?

Não aparecem no relatório da Bitdefender. Os dois usam o sistema da própria marca, com atualização de segurança. Compre de quem responde pelo aparelho (Amazon, Magalu ou loja oficial da marca) para não levar outra coisa no lugar.

Como saber se um Galaxy S25 Ultra é original?

Pelo preço (o novo custava a partir de R$ 5.554 em 9/10), pelo chip Snapdragon 8 Elite num app como o CPU-Z, pela caneta S Pen guardada no corpo do aparelho e pelo IMEI da caixa, que tem de bater com o que aparece ao discar *#06#. O código de modelo em Sobre o telefone (SM-S938B) sozinho não basta: o relatório mostra réplicas que copiam esse código.

Os apps que vêm instalados no celular novo são vírus?

Normalmente não. Samsung, Motorola e as operadoras instalam apps de parceiros (redes sociais, jogos, lojas) que você pode desinstalar ou desativar. O sinal de alerta é app que volta sozinho depois de removido ou anúncio que aparece fora dos apps.

Quais países têm mais celulares infectados?

México (13,02%), França (12,48%), Itália (9,97%), Estados Unidos (8,36%), Alemanha (7,30%), Brasil (7,02%) e Espanha (6,72%), segundo o gráfico da Bitdefender com dois anos de dados.

Como este post foi feito

Li o relatório técnico da Bitdefender Labs (8/10) e o aviso ao consumidor da mesma empresa (9/10), e redesenhei o gráfico de países com os números originais. Os mais vendidos saíram das listas de celulares do Mercado Livre e de eletrônicos da Amazon na tarde de 9 de outubro; as réplicas, de buscas por “S25 Ultra” ordenadas por preço na Shopee, no Mercado Livre e na Amazon. Preços, vendedores e avaliações foram lidos na página de cada anúncio entre 14h15 e 14h40 e podem mudar. Não comprei nenhuma réplica e não testei os celulares desta lista.

Fontes: relatório da Bitdefender Labs sobre o Midnight Mimosa, aviso da Bitdefender ao consumidor, Resolução Anatel nº 780/2025, Código de Defesa do Consumidor, lançamento do Galaxy A17 e A07 no Brasil (Samsung), prazo de segurança do Moto G06 (Motorola), prazo de segurança do Moto G17 (Motorola), Moto G17 sem atualização de Android (Oficina da Net), certificação do Play Protect (Ajuda do Google Play).