Joker: як діє один з найбільш стійких Android-троянів і як від нього захиститися | CyberCalm

Семенюк Валентин 08.07.2026 Поділитися 5 хв. читання

Joker — це сімейство шкідливого програмного забезпечення для Android, яке з 2017 року маскується під законні програми в Google Play, викрадає SMS-повідомлення та контакти, а також непомітно підписує жертв на платні сервіси. Незважаючи на тривалу боротьбу Google, цей троян нікуди не зник: у серпні 2025 року дослідники виявили його майже у чверті з 77 шкідливих програм, які встигли здобути понад 19 мільйонів завантажень з офіційного магазину.

Зміст

Звідки з’явився Joker і чому Google не може його позбутися
Що робить троян на зараженому пристрої
Кампанія 2025 року: 19 мільйонів завантажень
Як розпізнати зараження
Як захиститися

Звідки з’явився Joker і чому Google не може його позбутися

Команда безпеки Android почала відстежувати цю родину, яку в Google називають Bread, ще на початку 2017 року — тоді її програми спеціалізувалися виключно на SMS-шахрайстві. За даними Google, лише до початку 2020 року Google Play Protect виявив та видалив 1,7 тисячі унікальних програм Bread з магазину ще до того, як їх встиг завантажити хоча б один користувач. У найактивніші періоди оператори трояна подавали до Google Play до 23 нових програм щодня.

Коли Google обмежив використання дозволу на надсилання SMS, творці Joker переорієнтувалися на шахрайство з WAP-білінгом — механізмом, який дозволяє оплачувати послуги з рахунку мобільного оператора без банківської картки. Обидві схеми мають спільну ваду: оператор перевіряє, що запит надходить із пристрою абонента, але не те, що його свідомо ініціювала людина. Саме цю прогалину троян автоматизує за допомогою прихованих кліків та перехоплення кодів підтвердження.

Що робить троян на зараженому пристрої

Потрапивши на пристрій, Joker запитує низку дозволів, які відкривають йому доступ до найчутливіших функцій. Як пояснюють у Check Point, шкідливе ПЗ читає та надсилає текстові повідомлення, перехоплює одноразові паролі з SMS та сповіщень (що дозволяє обходити двофакторну автентифікацію), робить знімки екрана, здійснює дзвінки, викрадає списки контактів та дані про пристрій, а також реєструє власника у преміальних сервісах без його згоди. Жертва зазвичай дізнається про зараження лише з рахунку мобільного оператора.

Живучість Joker пояснюється тактикою його операторів. Вони ховають шкідливий код у багатоступеневих зашифрованих компонентах, які завантажуються вже після встановлення, а іноді публікують спершу повністю «чисту» версію програми, щоб накопичити завантаження та позитивні відгуки, і лише згодом додають шкідливу функціональність через оновлення. Через це навіть ретельна перевірка на момент публікації не гарантує, що програма залишиться безпечною.

Кампанія 2025 року: 19 мільйонів завантажень

У серпні 2025 року команда Zscaler ThreatLabz повідомила про 77 шкідливих програм у Google Play із сукупними 19 мільйонами встановлень. Хоча більшість із них містили рекламні компоненти, найпоширенішою родиною шкідливого ПЗ виявився саме Joker — його знайшли майже у 25% проаналізованих програм. Понад половину приманок становили програми з категорій «інструменти» та «персоналізація»; до груп підвищеного ризику дослідники також віднесли розваги, фотографію та дизайн.

Тоді ж дослідники зафіксували варіант Joker під назвою Harly. Він поширюється як цілком робоча програма — гра, збірка шпалер, ліхтарик чи фоторедактор — але шкідливе навантаження заховане глибше в коді, щоб пройти перевірку під час модерації. Google видалив усі виявлені програми після звернення дослідників, проте нові варіанти продовжують з’являтися: за пізнішими даними Zscaler, восени 2025 року на родину Joker припадало близько 23% виявлень шкідливого ПЗ у Google Play.

Як розпізнати зараження

Joker працює у фоновому режимі і не має власного інтерфейсу, тому виявити його безпосередньо складно. Насторожити мають несподівані списання з рахунку мобільного оператора, підписки на послуги, яких ви не оформлювали, SMS-повідомлення на незнайомі короткі номери у вихідних, а також програми, що запитують доступ до SMS чи сповіщень без очевидної потреби. Якщо ліхтарик або збірка шпалер вимагає стати програмою для повідомлень за замовчуванням — це практично гарантована ознака шахрайства.

Як захиститися

Перша лінія оборони — увімкнений Google Play Protect, який сканує програми до та після встановлення і може автоматично видаляти виявлені загрози. Корисно також періодично запускати ручне сканування пристрою.

Перед встановленням програми варто перевірити розробника: у операторів Joker акаунти зазвичай містять лише один продукт, не пов’язані з жодною компанією чи сайтом, а політика конфіденційності зводиться до шаблонної сторінки. Читайте відгуки — під шкідливими програмами часто спершу з’являються однотипні п’ятизіркові оцінки, а згодом реальні користувачі скаржаться на обман. Обмежте кількість встановлених програм і надавайте лише ті дозволи, що безпосередньо стосуються заявленої функціональності.

Оскільки Joker перехоплює одноразові коди з SMS, для важливих облікових записів варто перейти на двофакторну автентифікацію через програму-автентифікатор або апаратний ключ. І регулярно переглядайте рахунок мобільного оператора: саме там сліди трояна з’являються найшвидше. Якщо підозріла програма вже встановлена, видаліть її, перевірте активні підписки в особистому кабінеті оператора, змініть паролі до ключових акаунтів і за потреби попередьте банк.

Будь ласка, залиште це поле порожнім

О, привіт
Приємно познайомитися!

Ми не розсилаємо спам! Ознайомтеся з нашою політикою конфіденційності для отримання додаткової інформації.

Перевірте свою поштову скриньку або папку зі спамом, щоб підтвердити підписку.

ТЕГИ:AndroidGoogleJokerСмартфонитрояншкідливе ПЗ Поділитися Facebook Threads Копіювати посилання Друк Попередня стаття «Перша» кібератака-вимагач під керуванням ШІ все одно потребувала людини Наступна стаття Браузер DuckDuckGo тепер блокує більшість відеореклами на YouTube