Joker — родина шкідливого ПЗ для Android, яка з 2017 року маскується під легітимні застосунки у Google Play, викрадає SMS-повідомлення та контакти й непомітно підписує жертв на платні послуги. Попри роки боротьби Google, троян нікуди не зник: у серпні 2025 року дослідники виявили його майже у чверті з 77 шкідливих застосунків, які встигли набрати понад 19 мільйонів завантажень з офіційного магазину.
Звідки взявся Joker і чому Google не може його позбутися
Команда безпеки Android почала відстежувати цю родину, яку в Google називають Bread, ще на початку 2017 року — тоді її застосунки спеціалізувалися виключно на SMS-шахрайстві. За даними Google, лише до початку 2020 року Google Play Protect виявив і видалив 1,7 тисячі унікальних застосунків Bread з магазину ще до того, як їх встиг завантажити хоч один користувач. У найактивніші періоди оператори трояна подавали до Google Play до 23 нових застосунків на день.
Коли Google обмежив використання дозволу на надсилання SMS, автори Joker переорієнтувалися на шахрайство з WAP-білінгом — механізмом, який дозволяє оплачувати послуги з рахунку мобільного оператора без банківської картки. Обидві схеми мають спільну ваду: оператор перевіряє, що запит надходить із пристрою абонента, але не те, що його свідомо ініціювала людина. Саме цю прогалину троян автоматизує за допомогою прихованих кліків та перехоплення кодів підтвердження.
Що троян робить на зараженому пристрої
Потрапивши на пристрій, Joker запитує низку дозволів, які відкривають йому доступ до найчутливіших функцій. Як пояснюють у Check Point, шкідливе ПЗ читає та надсилає текстові повідомлення, перехоплює одноразові паролі з SMS та сповіщень (що дозволяє обходити двофакторну автентифікацію), робить знімки екрана, здійснює дзвінки, викрадає списки контактів і дані про пристрій, а також реєструє власника у преміальних сервісах без його згоди. Жертва зазвичай дізнається про зараження лише з рахунку мобільного оператора.
Живучість Joker пояснюється тактикою його операторів. Вони ховають шкідливий код у багатоступеневих зашифрованих компонентах, які завантажуються вже після встановлення, а іноді публікують спершу повністю «чисту» версію застосунку, щоб накопичити завантаження та позитивні відгуки, і лише згодом додають шкідливу функціональність через оновлення. Через це навіть ретельна перевірка на момент публікації не гарантує, що застосунок залишиться безпечним.
Кампанія 2025 року: 19 мільйонів завантажень
У серпні 2025 року команда Zscaler ThreatLabz повідомила про 77 шкідливих застосунків у Google Play із сукупними 19 мільйонами встановлень. Хоча більшість із них містили рекламні компоненти, найпоширенішою родиною шкідливого ПЗ виявився саме Joker — його знайшли майже у 25% проаналізованих застосунків. Понад половину приманок становили застосунки з категорій «інструменти» та «персоналізація»; до груп підвищеного ризику дослідники також віднесли розваги, фотографію та дизайн.
Тоді ж дослідники зафіксували варіант Joker під назвою Harly. Він поширюється як цілком робочий застосунок — гра, збірка шпалер, ліхтарик чи фоторедактор — але шкідливе навантаження заховане глибше в коді, щоб пройти перевірку під час модерації. Google видалив усі виявлені застосунки після звернення дослідників, проте нові варіанти продовжують зʼявлятися: за пізнішими даними Zscaler, восени 2025 року на родину Joker припадало близько 23% виявлень шкідливого ПЗ у Google Play.
Як розпізнати зараження
Joker працює у фоновому режимі й не має власного інтерфейсу, тому виявити його безпосередньо складно. Насторожити мають несподівані списання з рахунку мобільного оператора, підписки на послуги, яких ви не оформлювали, SMS-повідомлення на незнайомі короткі номери у вихідних, а також застосунки, що запитують доступ до SMS чи сповіщень без очевидної потреби. Якщо ліхтарик або збірка шпалер вимагає стати застосунком для повідомлень за замовчуванням — це практично гарантована ознака шахрайства.
Як захиститися
Перша лінія захисту — увімкнений Google Play Protect, який сканує застосунки до та після встановлення й може автоматично видаляти виявлені загрози. Корисно також періодично запускати ручне сканування пристрою.
Перед встановленням застосунку варто перевірити розробника: у операторів Joker акаунти зазвичай містять лише один продукт, не повʼязані з жодною компанією чи сайтом, а політика конфіденційності зводиться до шаблонної сторінки. Читайте відгуки — під шкідливими застосунками часто спершу зʼявляються однотипні пʼятизіркові оцінки, а згодом реальні користувачі скаржаться на обман. Обмежте кількість встановлених застосунків і надавайте лише ті дозволи, що безпосередньо стосуються заявленої функціональності.
Оскільки Joker перехоплює одноразові коди з SMS, для важливих облікових записів варто перейти на двофакторну автентифікацію через застосунок-автентифікатор або апаратний ключ. І регулярно переглядайте рахунок мобільного оператора: саме там сліди трояна зʼявляються найшвидше. Якщо підозрілий застосунок уже встановлено, видаліть його, перевірте активні підписки в особистому кабінеті оператора, змініть паролі до ключових акаунтів і за потреби попередьте банк.
