Viac než 50 aplikácií z Google Play skrývalo trojan Joker, ktorý ťa prihlasuje k plateným službám. Nové varianty zasiahli 187-tisíc zariadení

Viac než 187 000 zariadení skončilo podľa bezpečnostnej spoločnosti Doctor Web v sieti vytvorenej novými variantmi malvéru Joker. Ten už neútočí iba cez platené mobilné služby. Z napadnutého Androidu dokáže spraviť proxy server, cez ktorý sa na internet pripája niekto úplne iný.

Telefón obete tak môže na pozadí prenášať cudziu internetovú komunikáciu a navonok ju vydávať za prevádzku zo svojej vlastnej IP adresy. Doctor Web v ovládacom paneli siete našiel 93 aktívnych zákazníkov, ktorí túto infraštruktúru využívali.

Joker pritom nie je nový malvér. Doteraz bol známy najmä tým, že dokázal používateľa bez jeho vedomia prihlásiť k plateným mobilným službám a zachytávať SMS či notifikácie potrebné na potvrdenie platby. Proxy funkcia mu pridáva druhý spôsob, ako z napadnutého telefónu zarábať. Report neuvádza, koľko zo 187-tisíc infekcií pochádzalo priamo z Google Play ani koľko zariadení pripadalo na jednotlivé škodlivé aplikácie.

Joker sa schovával za fotoaparát aj aplikáciu na správy

Doctor Web počas tretieho štvrťroka 2026 našiel v Google Play viac než 50 škodlivých aplikácií, pričom veľká časť z nich patrila do rodiny Android.Joker.

V reporte sa menovite objavili dve aplikácie:

Súvisí s tým

Tvoj Android môže potichu slúžiť cudzím ľuďom ako internetová brána. V botnete skončilo vyše 187-tisíc zariadení

• Special Camera – Android.Joker.2679
• Color Messages – Android.Joker.2682

Ak ich máš ešte v telefóne, vymaž ich. Ďalšie škodlivé aplikácie sa maskovali ako messengery, optimalizačné nástroje, fotoaparáty, aplikácie na rozpoznávanie textu či prehrávače filmov a seriálov. Na obrázku nižšie vidíš časť ikon aplikácií, v ktorých Doctor Web našiel škodlivý kód. Všetky názvy spoločnosť vo verejnom reporte nezverejnila.

Do Google Play sa už podobným spôsobom dostali aj aplikácie zneužívajúce platené SMS a platby cez mobilného operátora.

Jednorazový kód si Joker vytiahne priamo z SMS alebo notifikácie

Joker si vie z SMS správ alebo notifikácií vytiahnuť jednorazový kód potrebný na potvrdenie platenej služby. Používateľ si problém často všimne až vtedy, keď sa poplatok objaví na faktúre od operátora.

Aktualizované varianty však vedia telefón zneužiť aj ako proxy. Cudzia komunikácia potom prechádza cez internetové pripojenie obete a navonok používa jej IP adresu. Všetko môže bežať na pozadí bez toho, aby sa na obrazovke objavilo niečo nápadné.

Server botnetu nebol chránený. Výskumníci sa dostali priamo k jeho štatistikám

Jeden z riadiacich serverov botnetu nevyžadoval autorizáciu. Doctor Web sa tak dostal priamo k jeho ovládaciemu panelu, kde videl aj 93 aktívnych zákazníkov proxy siete.

Podľa výskumníkov prevádzkovatelia cez túto sieť predávali internetový prístup vedený cez zariadenia obetí.

V rovnakom reporte sa vysoko umiestnili aj trójske kone rodiny Android.Proxy. Varianty Android.Proxy.60.origin a Android.Proxy.61.origin tvorili spolu viac než 22 % všetkých detekcií mobilného malvéru spoločnosti Doctor Web počas tretieho štvrťroka 2026.

Ich úlohou bolo presmerovať cudziu internetovú komunikáciu cez napadnuté zariadenia. Pri nových variantoch Jokeru sa rovnaká funkcia objavila popri mechanizme platených predplatných.

Viac než 50 škodlivých aplikácií prešlo cez Google Play

Cez Google Play sa v minulosti šíril aj bankový trojan Anatsa ukrytý v aplikácii na čítanie dokumentov. Pri Jokerovi je podozrivý najmä prístup k SMS správam a notifikáciám. Fotoaparát či prehrávač ich na svoju bežnú funkciu nepotrebuje.

Ak si mal Special Camera alebo Color Messages, vymaž ich a telefón prežeň cez Google Play Protect. Pozri aj faktúru od operátora a zoznam platených služieb. Pri verziách s proxy funkciou môže byť stopou nezvyčajne vysoká spotreba dát na pozadí.