Joker: принцип роботи одного з найстійкіших троянів для Android та методи захисту від нього

Семенюк Валентин08.07.2026Поширити5 хв. читання

Joker – це сімейство зловмисного програмного забезпечення для Android, яке з 2017 року маскується під легітимні додатки в Google Play, викрадає SMS-повідомлення та контакти, а також непомітно підписує жертв на платні сервіси. Незважаючи на роки боротьби з боку Google, цей троян нікуди не зник: у серпні 2025 року дослідники виявили його майже в чверті з 77 шкідливих додатків, які встигли набрати понад 19 мільйонів завантажень з офіційного магазину.

Зміст

Звідки з’явився Joker і чому Google не може його позбутися
Що троян робить на зараженому пристрої
Кампанія 2025 року: 19 мільйонів завантажень
Як розпізнати зараження
Як захиститися

Звідки з’явився Joker і чому Google не може його позбутися

Команда безпеки Android почала відстежувати це сімейство, яке в Google називають Bread, ще на початку 2017 року — тоді його програми спеціалізувалися виключно на SMS-шахрайстві. За даними Google, лише до початку 2020 року Google Play Protect виявив і видалив 1,7 тисячі унікальних програм Bread з магазину ще до того, як їх встиг завантажити хоч один користувач. У найактивніші періоди оператори трояна подавали до Google Play до 23 нових програм щодня.

Коли Google обмежив використання дозволу на надсилання SMS, творці Joker переорієнтувалися на шахрайство з WAP-білінгом — механізмом, що дозволяє оплачувати послуги з рахунку мобільного оператора без банківської картки. Обидві схеми мають спільний недолік: оператор перевіряє, що запит надходить з пристрою абонента, але не те, що його свідомо ініціювала людина. Саме цю прогалину троян автоматизує за допомогою прихованих кліків та перехоплення кодів підтвердження.

Що троян робить на зараженому пристрої

Потрапивши на пристрій, Joker запитує низку дозволів, які відкривають йому доступ до найчутливіших функцій. Як пояснюють у Check Point, шкідливе ПЗ зчитує та надсилає текстові повідомлення, перехоплює одноразові паролі з SMS та сповіщень (що дозволяє обходити двофакторну автентифікацію), робить скріншоти, здійснює дзвінки, викрадає списки контактів і дані про пристрій, а також реєструє власника у преміальних сервісах без його згоди. Жертва зазвичай дізнається про зараження лише з рахунку мобільного оператора.

Стійкість Joker пояснюється тактикою його операторів. Вони ховають шкідливий код у багатоступеневих зашифрованих компонентах, які завантажуються вже після встановлення, а іноді спочатку публікують повністю «чисту» версію додатка, щоб накопичити завантаження та позитивні відгуки, і лише згодом додають шкідливу функціональність через оновлення. Через це навіть ретельна перевірка на момент публікації не гарантує, що додаток залишиться безпечним.

Кампанія 2025 року: 19 мільйонів завантажень

У серпні 2025 року команда Zscaler ThreatLabz повідомила про 77 шкідливих програм у Google Play із сукупними 19 мільйонами встановлень. Хоча більшість із них містили рекламні компоненти, найпоширенішим сімейством зловмисного ПЗ виявився саме Joker — його знайшли майже у 25% проаналізованих програм. Понад половину приманок становили програми з категорій «інструменти» та «персоналізація»; до груп підвищеного ризику дослідники також віднесли розваги, фотографію та дизайн.

Тоді ж дослідники зафіксували варіант Joker під назвою Harly. Він поширюється як цілком робочий додаток — гра, збірка шпалер, ліхтарик чи фоторедактор — але шкідливе навантаження заховане глибше в коді, щоб пройти перевірку під час модерації. Google видалив усі виявлені програми після звернення дослідників, проте нові варіанти продовжують з’являтися: за пізнішими даними Zscaler, восени 2025 року на сімейство Joker припадало близько 23% виявлень шкідливого ПЗ у Google Play.

Як розпізнати зараження

Joker працює у фоновому режимі й не має власного інтерфейсу, тому виявити його безпосередньо складно. Насторожити мають несподівані списання з рахунку мобільного оператора, підписки на послуги, яких ви не оформлювали, SMS-повідомлення на незнайомі короткі номери у вихідних, а також програми, що запитують доступ до SMS чи сповіщень без очевидної потреби. Якщо ліхтарик або збірка шпалер вимагає стати програмою для повідомлень за замовчуванням — це практично гарантована ознака шахрайства.

Як захиститися

Перша лінія захисту — увімкнений Google Play Protect, який сканує програми до та після встановлення й може автоматично видаляти виявлені загрози. Корисно також періодично запускати ручне сканування пристрою.

Перед встановленням програми варто перевірити розробника: у операторів Joker акаунти зазвичай містять лише один продукт, не пов’язані з жодною компанією чи сайтом, а політика конфіденційності зводиться до шаблонної сторінки. Читайте відгуки — під шкідливими програмами часто спочатку з’являються однотипні п’ятизіркові оцінки, а згодом реальні користувачі скаржаться на обман. Обмежте кількість встановлених програм і надавайте лише ті дозволи, що безпосередньо стосуються заявленої функціональності.

Оскільки Joker перехоплює одноразові коди з SMS, для важливих облікових записів варто перейти на двофакторну автентифікацію через додаток-автентифікатор або апаратний ключ. І регулярно переглядайте рахунок мобільного оператора: саме там сліди трояна з’являються найшвидше. Якщо підозріла програма вже встановлена, видаліть її, перевірте активні підписки в особистому кабінеті оператора, змініть паролі до ключових облікових записів і за потреби попередьте банк.

Будь ласка, залиште це поле порожнім

О, привіт
Приємно познайомитися!

Ми не розсилаємо спам! Ознайомтеся з нашою політикою конфіденційності для отримання додаткової інформації.

Перевірте свою поштову скриньку або папку зі спамом, щоб підтвердити підписку.

ТЕМИ:AndroidGoogleJokerСмартфонитрояншкідливе ПЗПоділитисяFacebookThreadsКопіювати посиланняДрукЩо думаєте?В захваті0Сумно0Смішно0Палає0Овва!0Попередня стаття