Tvoj Android môže potichu slúžiť cudzím ľuďom ako internetová brána. V botnete skončilo vyše 187-tisíc zariadení

Bezpečnosť Androidu mala v treťom štvrťroku 2026 ďalší problém, ktorý nemusí byť na prvý pohľad vôbec viditeľný. Útočníci totiž nemuseli telefón iba napadnúť a ukradnúť z neho údaje. Mohli ho potichu využiť ako súčasť cudzej internetovej siete.

Vyplýva to zo štatistík spoločnosti Doctor Web, ktorá zverejnila prehľad detekcií zo svojho antivírusového riešenia Dr.Web Security Space pre Android za júl až september 2026.

Najvýraznejší nárast zaznamenali trójske kone z rodiny Android.Proxy. Ich úlohou je zneužiť internetové pripojenie infikovaného smartfónu a preposielať cez neho sieťovú prevádzku. Telefón sa tak môže stať takzvaným výstupným bodom proxy siete.

V praxi to znamená, že časť internetovej komunikácie útočníka môže vyzerať, akoby prichádzala práve z tvojho telefónu.

Telefón sa môže zmeniť na proxy pre cudziu prevádzku

Najväčší podiel v tejto kategórii mali podľa Dr.Web trójske kone Android.Proxy.60.origin a Android.Proxy.61.origin. Spoločne predstavovali viac ako 22 percent všetkých detekcií malvéru. Ich princíp je pomerne jednoduchý. Po infikovaní zariadenia sa telefón pripojí do proxy botnetu a útočníci cez neho môžu smerovať internetovú prevádzku. Proxy server funguje ako prostredník medzi používateľom a internetom. Ak teda niekto využije infikovaný telefón ako výstupný bod, cieľová služba môže vidieť IP adresu tohto zariadenia namiesto skutočnej adresy útočníka.

Súvisí s tým

Nový bankový malvér StreamRat môže ovládnuť celý tvoj Android a ukradnúť ti peniaze. Šíri sa cez reklamy, ktoré zasiahli vyše 500-tisíc ľudí

Pre majiteľa telefónu to môže znamenať spotrebu dát, dodatočnú záťaž pripojenia alebo zapojenie zariadenia do aktivít, o ktorých vôbec nevie.

Bankové trójske kone zostávajú vážnym problémom

Na druhom mieste sa podľa Dr.Web nachádzali Android.Banker. Ich podiel dosiahol 18,06 percenta všetkých detekcií malvéru, pričom oproti druhému štvrťroku ich aktivita mierne vzrástla.

Najaktívnejšiu skupinu predstavovali trójske kone z podrodiny Android.Banker.Mamont. Tieto škodlivé aplikácie sa nezameriavajú iba na samotné bankové aplikácie. Dokážu napríklad zachytávať SMS správy a upozornenia, v ktorých sa môžu nachádzať jednorazové kódy potrebné na potvrdenie platby alebo prihlásenia.

Dr.Web medzi konkrétnymi hrozbami uvádza napríklad Android.Banker.Mamont.263.origin. Ten dokáže zachytávať SMS s jednorazovými kódmi, čítať obsah upozornení a zbierať ďalšie údaje o zariadení.

Ide napríklad o zoznam nainštalovaných aplikácií, informácie o SIM karte či údaje o uskutočnených a prijatých hovoroch a SMS správach.

Menej reklamy neznamená menej malvéru

Nie všetky hrozby však v treťom štvrťroku rástli. Dr.Web zaznamenal výrazný pokles detekcií dvoch reklamných trójskych koní. Počet detekcií Android.MobiDash klesol o 30,96 percenta a Android.HiddenAds o 14,36 percenta. Ich spoločný podiel na detekovanom malvéri sa tak dostal pod 10 percent. Android.HiddenAds pritom môže byť pre používateľa nepríjemný práve tým, že sa snaží svoju prítomnosť skryť. Niektoré varianty dokážu zmiznúť z ponuky aplikácií na domovskej obrazovke, takže používateľ nemusí na prvý pohľad zistiť, čo reklamy spôsobuje.

Dr.Web zároveň upozorňuje na takzvaný riskware. Nejde vždy priamo o malvér, ale o nástroje alebo upravené aplikácie, ktoré môžu vytvárať bezpečnostné riziko. Najväčšiu časť tejto kategórie tvorili v treťom štvrťroku aplikácie upravené pomocou nástrojov NP Manager. Do ich kódu môže byť vložený nepotrebný alebo takzvaný odpadový kód, ktorý skomplikuje jeho analýzu. Takúto techniku používajú aj tvorcovia malvéru. Ak antivírus narazí na výrazne upravený a zamaskovaný kód, jeho analýza môže byť náročnejšia. Detekcie Tool.Obfuscator.TrashCode tvorili až 69,01 percenta všetkých detekcií riskware. Ďalších 19,16 percenta pripadlo na úpravy označené ako Tool.NPMod.

Do tejto kategórie sa dostali aj aplikácie upravené pomocou LuckyPatcher. Ich podiel dosiahol 5,77 percenta. Problém spočíva v tom, že tento nástroj môže sťahovať skripty z internetu a ich obsah nemusí byť bezpečný.

Falošný antivírus ťa najprv vystraší a potom chce peniaze

Medzi nechcenými aplikáciami sa na prvom mieste opäť nachádzali programy Program.FakeAntiVirus. Ich princíp poznáš možno aj z počítačového sveta. Aplikácia sa tvári ako antivírus, oznámi ti údajný problém a následne ponúkne platenú verziu, ktorá ho má odstrániť. Problém je v tom, že hlásené hrozby môžu byť úplne vymyslené. Podiel týchto aplikácií medzi všetkými detekciami nechceného softvéru vzrástol zo 44,10 percenta v predchádzajúcom období na 51,09 percenta.

Dr.Web upozorňuje aj na aplikácie typu Program.FakeMoney. Tie používateľovi ukazujú fiktívne zárobky za plnenie rôznych úloh. Sľubujú následnú výplatu, no po dosiahnutí požadovanej sumy používateľ peniaze v skutočnosti nedostane.

Ani Google Play sa škodlivým aplikáciám nevyhol

Ešte zaujímavejšia je situácia priamo v Google Play. Laboratórium Doctor Web v treťom štvrťroku identifikovalo viac ako 50 škodlivých aplikácií. Veľká časť z nich patrila do rodiny Android.Joker. Tieto trójske kone sa zameriavajú na predplatné platených mobilných služieb. Na získanie potvrdenia môžu zachytávať SMS správy alebo obsah upozornení. Škodlivé aplikácie sa pritom tvárili ako úplne bežné programy. Dr.Web medzi nimi našiel messengery, nástroje na optimalizáciu telefónu, fotoaplikácie, aplikácie na rozpoznávanie textu či prehrávače multimédií.

Android.Joker však v treťom štvrťroku dostal aj novú schopnosť. Niektoré jeho varianty dokážu zmeniť infikovaný telefón na výstupný bod proxy botnetu. Útočníci tak môžu využiť internetové pripojenie obete a zároveň ponúkať prístup do tejto siete ďalším zákazníkom. Dr.Web dokonca získal údaje z riadiaceho panela jedného z týchto botnetov, pretože jeho server nemal zapnutú autorizáciu. Podľa získaných údajov bolo na konci augusta infikovaných viac ako 187 000 zariadení. Počet aktívnych prenajímateľov nelegálnej proxy siete dosiahol 93.

Falošné pracovné ponuky cielili na osobné údaje

Ďalšiu skupinu tvorili trójske kone Android.FakeApp. Tie dokážu podľa situácie otvárať rôzne webové stránky vrátane podvodných. Niektoré sa šírili ako aplikácie na správu financií, plánovanie rodinného rozpočtu, poznámky, hľadanie práce alebo hry. Na prvý pohľad pritom mohli poskytovať funkcie, ktoré sľubovali.

Za určitých podmienok však otvorili podvodnú stránku. Jeden z nájdených variantov napríklad zobrazil ponuky práce s vysokým platom a lákavými podmienkami. Používateľ následne dostal možnosť uchádzať sa o vybranú pozíciu. Podmienkou však bolo vyplnenie osobných údajov. Podvodníci požadovali napríklad celé meno, vek, občianstvo a telefónne číslo. Používateľ si zároveň mal vybrať vhodný čas na telefonát s údajným „špecialistom“. Práve takéto prípady ukazujú, že škodlivá aplikácia nemusí vyzerať ako klasický vírus. Niekedy môže fungovať presne tak, ako sľubuje, no v určitom momente otvorí stránku, ktorá od používateľa začne získavať citlivé údaje.

Tretí štvrťrok 2026 tak podľa štatistík Dr.Web priniesol kombináciu viacerých typov hrozieb. Android.Proxy výrazne narástol, bankové trójske kone mierne posilnili a na Google Play sa objavili desiatky škodlivých aplikácií.

Pre bežného používateľa z toho vyplýva najmä jedno praktické upozornenie, ani aplikácia z oficiálneho obchodu automaticky neznamená, že jej môžeš bez rozmýšľania udeliť všetky požadované oprávnenia. Pri aplikáciách, ktoré žiadajú prístup k SMS správam, upozorneniam alebo ďalším citlivým údajom, sa preto oplatí pozrieť, či ich naozaj potrebujú na svoju deklarovanú funkciu.