La verdad incómoda: malware sigue dormido en reacondicionados
Hace tres meses escaneamos 500 móviles Android reacondicionados que pasaban nuestro proceso de verificación inicial. El resultado nos obligó a replantearnos todo: 47 dispositivos (el 9,4%) tenían malware activo o dormido en el firmware, y otros 23 (4,6%) portaban código sospechoso en la partición del sistema que nuestro protocolo anterior no detectaba.
No se trata de alarmismo. En el taller de Removil abrimos decenas de Android cada semana, y la realidad es que muchos reacondicionadores —y almacenes minoristas— se conforman con hacer un wipe superficial sin verificar la ROM subyacente. Un smartphone reacondicionado que pasa por una fábrica descuidada puede llegar a ti con troyanos bancarios, spyware o mineros de criptomonedas perfectamente agazapados en el firmware.
Qué malware encontramos (y dónde se esconde)
Durante nuestro análisis documentamos seis categorías de amenazas recurrentes:
- Troyanos bancarios (37% de casos positivos): Principalmente Anubis y Cerberus. Se inyectaban en apps pre-instaladas de navegadores o servicios financieros. Cuando el usuario abría su app de banco, el malware capturaba credenciales.
- Spyware de seguimiento (28%): Código que monitorizaba SMS, llamadas, ubicación GPS. Frecuente en dispositivos procedentes de centros de reparación «dudosos» de Latinoamérica.
- Mineros de criptomonedas (18%): Consumían CPU silenciosamente. El usuario notaba batería drenada en 6-8 horas y procesador caliente. En nuestro taller vemos que esto reduce la vida útil de la placa base 18 meses.
- Adware/PUP (11%): Apps fantasma que inyectaban publicidad o redireccionaban búsquedas. Menos graves, pero igual de tediosas.
- Rootkits (4%): El caso más peligroso. Malware con acceso de administrador que podía resistir factory reset.
- Bloatware corporativo comprometido (2%): Aplicaciones pre-instaladas de fábrica que contenían librerías maliciosas ocultas.
Por qué un factory reset NO te protege
Aquí está el quid: cuando formateas un Android, eliminas los datos y apps de usuario, pero no reescribes la ROM del sistema operativo. Si el malware está incrustado en la partición de boot, el firmware o las librerías del sistema, simplemente reinicia con el dispositivo.
Es como limpiar la casa pero no cambiar las cañerías infectadas. El virus dormido despierta cuando activas la conexión de datos.
Algunos malwares sofisticados que documentamos en nuestro análisis (específicamente una variante de Triada que encontramos en 3 Xiaomi Redmi y 2 Samsung Galaxy A) se ocultaban tan profundamente que ni ADB (Android Debug Bridge) detectaba su presencia hasta ejecutar comandos específicos a nivel de partición.
Cómo verificar si tu Android reacondicionado tiene ROM comprometida
Nivel 1: Verificación básica (app antivirus)
No es suficiente, pero es un primer filtro. Instala Malwarebytes, Norton 360 o Avast en tu dispositivo recién comprado:
- Conecta a WiFi segura (no datos móviles, por si acaso)
- Descarga la app de Google Play
- Ejecuta escaneo completo (tarda 30-45 minutos)
- Si reporta malware, contacta al vendedor inmediatamente
El problema: estos antivirus escanean el filesystem visible. No alcanzan la ROM del sistema.
Nivel 2: Verificación técnica intermedia (Android Debug Bridge)
Requiere mínimos conocimientos de terminal, pero es mucho más fiable:
- Descarga Android SDK en tu PC/Mac
- Activa «Opciones de desarrollador» en el móvil (pulsa 7 veces sobre «Compilación» en Ajustes)
- Habilita «Depuración USB»
- Conecta el móvil por USB y ejecuta:
adb shell getprop ro.build.fingerprint - Compara el output con la huella digital oficial de tu modelo en GSMarena o el sitio oficial del fabricante
- Si no coinciden o parece modificada, el firmware ha sido alterado
Ejecuta también: adb shell pm list packages -u para ver paquetes del sistema. Si hay apps raras que no reconoces (nombres ofuscados, caracteres aleatorios), marca bandera roja.
Nivel 3: Análisis forense (verificación de laboratorio)
En removiles.com ofrecemos este servicio para compras superiores a 400€. Extraemos una imagen del firmware, la analizamos con herramientas como Autopsy y Volatility, y escaneamos contra bases de datos de malware conocido (VirusTotal, Shodan). Cuesta 45€ pero detecta amenazas que ningún usuario detectaría solo.
Nuestro protocolo Removil para ROM limpio
Después del análisis de 500 unidades, actualizamos nuestro flujo interno:
- Escaneo inicial con antivirus multi-motor (Avast + Malwarebytes + Norton en paralelo)
- Extracción y análisis de boot image contra VirusTotal
- Verificación de fingerprint contra base de datos oficial del fabricante
- Búsqueda de aplicaciones fantasma usando análisis estático de APK
- Flash de ROM stock limpia si detectamos cualquier anomalía (aquí está la clave)
- Escaneo post-reflash para confirmar limpieza
- Certificado digital de seguridad que entregamos con el dispositivo
Este protocolo añade 2-3 horas por dispositivo, pero es la diferencia entre vender Android infectados (como hacen algunos «reacondicionadores» de mercadillos) y ofrecer dispositivos seguros.
Señales de alerta que deberías conocer
Si acabas de comprar un Android reacondicionado y observas esto, probablemente tenga malware:
- Batería que desciende 15-20% por hora sin usar apps activamente
- Procesador sistemáticamente a 80-100% de carga (verifica en Ajustes > Información > Rendimiento o con apps como CPU-Z)
- Datos móviles consumidos sin conexión activa a apps (revisa estadísticas en Ajustes > Red)
- Apps que no puedes desinstalar, incluso siendo usuario admin
- Llamadas o SMS que no ves en el registro pero aparecen facturados
- Notificaciones de intentos de conexión a IPs sospechosas (descarga NetGuard, es gratuita)
- Reinicio automático a horas específicas
- Google Play Store que se abre solo o redirige a tiendas falsas
Qué hacer si sospechas ROM comprometida
Primero, no entres en pánico. Segundo, sigue este protocolo:
- Desconecta de datos: Pon el móvil en Modo Avión inmediatamente para evitar que el malware se comunique con servidores de comando.
- Contacta al vendedor: Si compraste en removiles.com o cualquier tienda reputada, tienes derecho a devolución por defecto de seguridad. La garantía de Removil cubre esto explícitamente.
- No confíes en factory reset: Si el malware está en ROM, no desaparecerá. Insiste al vendedor en que te proporcione una unidad reflaseada o devuelva tu dinero.
- Si vendes/regalas el dispositivo: Advierte al nuevo propietario por escrito. Legalmente, transmitir un dispositivo comprometido puede tener consecuencias.
Reacondicionadores vs tiendas especializadas: la diferencia en seguridad
Aquí está la verdad fría: un reacondicionador pequeño que compra smartphones en lotes a liquidadores no tiene presupuesto (ni conocimiento técnico) para hacer análisis forense. En el mejor de los casos, wipe + antivirus. En el peor, cambio de batería + venta directa.
Una tienda especializada en reacondicionados tiene laboratorio, herramientas técnicas y responsabilidad legal si vende dispositivos infectados. Por eso somos algo más caros que BackMarket o Wallapop en algunos modelos. No es marketing, es arquitectura de seguridad.
Cuando compares precios de Samsung Galaxy A52 reacondicionado entre tiendas, pregunta específicamente qué análisis de seguridad aplican. Si no pueden explicarte con detalle, esa es una señal.
Malware en otras categorías: tablets y portátiles
El problema no es exclusivo de móviles. En nuestro taller encontramos:
- Tablets reacondicionadas: Malware muy similar. Los iPads tienen más protección (Secure Enclave verificado), pero algunos tablets Android chinas llegaban con rootkits preinstalados de fábrica.
- Portátiles reacondicionados: Menos frecuente, pero hemos visto laptops Windows con UEFI comprometido. Eso sí, es anormal.
Por eso nuestra verificación de tablets reacondicionadas y portátiles reacondicionados es igual de exhaustiva que para móviles.
Lo que no te diremos
No prometemos «100% libre de malware». Ninguna tienda puede. La seguridad informática no es binaria. Lo que sí te garantizamos es un proceso verificable, transparente y documentado. Y si fallamos, lo asumimos.
¿Quieres comprar Android reacondicionado sin dormir por ello? Consulta nuestras preguntas frecuentes sobre seguridad o contacta con nuestro taller. No es ventas. Es tranquilidad.
