Ver el código de «Joker»

[[Categoría:Familias de malware]]
'''Joker''' (también conocido como '''Bread''') es una familia de malware para Android de tipo troyano y spyware, cuya principal función es el '''fraude de suscripciones''' (''billing fraud''). Se ha convertido en una de las amenazas móviles más persistentes y prolíficas de la última década, apareciendo y reapareciendo en la Google Play Store con nuevas técnicas de evasión desde su detección inicial a finales de 2016 [citation:11][citation:3][citation:5].

Su éxito radica en su capacidad para pasar desapercibido en aplicaciones aparentemente legítimas (como mensajerías, escáneres, herramientas de optimización, editores de fotos o fondos de pantalla) y, una vez instalado, suscribir a las víctimas a servicios premium costosos sin su consentimiento, robando además información personal para completar el fraude [citation:1][citation:2][citation:3].

== Características principales ==

=== Nombre y Variantes ===
* **También conocido como**: Bread [citation:3].
* **Variantes conocidas**: Harly (una variante más sigilosa que oculta su carga maliciosa más profundamente en el código) [citation:7][citation:8][citation:12].

=== Origen y Evolución ===
* **Plataforma**: Android [citation:1][citation:3].
* **Activo desde**: Finales de 2016 [citation:11].
* **Modelo de negocio**: Su código fuente está disponible, lo que permite a otros ciberdelincuentes comprarlo, modificarlo y utilizarlo en sus propias campañas.

=== Capacidades Técnicas ===
Joker es conocido por su amplia gama de funcionalidades que le permiten controlar el dispositivo y cometer fraude:

* **Fraude de Suscripciones (Billing Fraud)**: Su funcionalidad principal. Se suscribe automáticamente a servicios premium (WAP, SMS premium) sin que el usuario lo sepa, generando cargos en la factura telefónica. Para ello, puede **interceptar y leer mensajes SMS** para capturar los códigos de confirmación (OTP) que se envían para completar el registro [citation:3][citation:4][citation:7].
* **Ataques de Superposición (Overlay)**: Cuando el usuario abre una aplicación bancaria o de compras, Joker superpone una pantalla de inicio de sesión falsa sobre la legítima para robar las credenciales.
* **Keylogging**: Registra todas las pulsaciones del teclado, capturando cualquier texto introducido en el dispositivo.
* **Captura de Pantalla (Screenshots)**: Puede tomar capturas de pantalla de la actividad del usuario y enviarlas a los atacantes [citation:4][citation:7][citation:8].
* **Registro de Llamadas**: Es capaz de grabar llamadas telefónicas del entorno [citation:4][citation:7][citation:8].
* **Control de SMS**: Puede leer, enviar y eliminar mensajes SMS, lo que le permite interceptar códigos de autenticación de dos factores (2FA) y enviar mensajes de confirmación [citation:3][citation:4][citation:7].
* **Robo de Contactos**: Puede robar la lista de contactos del dispositivo [citation:2][citation:3][citation:4].
* **Exfiltración de Datos**: Puede robar información del dispositivo (IMEI, número de teléfono, operador, códigos de país MCC/MNC) [citation:3][citation:4][citation:7].
* **Acceso a la Accesibilidad (Accessibility)**: Abusa de los permisos de accesibilidad de Android para controlar la interfaz del dispositivo, realizar toques en pantalla y evitar que el usuario desinstale la aplicación maliciosa [citation:2].
* **Evasión de Emuladores**: Utiliza sensores de movimiento para detectar si está siendo ejecutado en un entorno de análisis (sandbox) y así evitar ser detectado.

== Técnicas y Tácticas de Ataque ==

=== Métodos de Distribución ===
Joker se propaga a través de varios vectores, siendo el más común la infiltración en la **Google Play Store**:

* **Aplicaciones Maliciosas en Google Play**: Los atacantes publican apps aparentemente legítimas (como mensajerías, escáneres, fondos de pantalla, editores de fotos, herramientas de optimización, apps de cámara, etc.) que, una vez instaladas, descargan la carga maliciosa de Joker en una segunda etapa para evitar los controles de seguridad de Google [citation:1][citation:2][citation:3].
* **Aplicaciones en Tiendas de Terceros**: Se distribuyen a través de tiendas de aplicaciones no oficiales [citation:11].
* **Campañas de Phishing**: Distribución a través de enlaces maliciosos en correos electrónicos o mensajes SMS (smishing) que descargan el APK camuflado como una factura o documento importante.

=== Técnicas de Evasión Avanzadas ===
Joker es conocido por su capacidad para burlar los controles de seguridad de Google Play, adaptándose constantemente:

* **Ocultación de Payload**: La carga maliciosa se oculta en archivos de recursos (MP3, CSS, JSON, TTF, PNG, bases de datos) o en el propio archivo Android Manifest, o se descarga en etapas posteriores desde un servidor C2, para evitar ser detectada durante la revisión inicial [citation:5][citation:9][citation:11].
* **Cifrado y Ofuscación**: Utiliza cifrado (XOR, AES, DES, ElGamal, ChaCha20) y ofuscación de código para ocultar su intención maliciosa [citation:3][citation:9][citation:11].
* **Carga por Etapas (Dropper)**: La primera etapa de la app (dropper) es inocua y pasa la revisión de Google. Horas o días después, descarga la carga maliciosa (payload) desde servidores C2 y la ejecuta [citation:11].
* **Inyección en Bibliotecas Legítimas**: Se inyecta en bibliotecas de terceros legítimas para esconderse y dificultar el análisis [citation:11].
* **Uso de Bibliotecas Nativas**: Algunas variantes usan bibliotecas compiladas en C/C++ (Rust) para ocultar el código malicioso [citation:3].
* **Detección de Entornos de Análisis**: Detecta si se está ejecutando en un emulador o sandbox y se comporta de forma benigna para evadir la detección [citation:11].

=== Comando y Control (C2) ===
Joker se comunica con sus servidores de comando y control (C2) para recibir instrucciones y exfiltrar datos. Algunas técnicas incluyen:

* **HTTP/HTTPS**: Utiliza protocolos web para la comunicación [citation:3].
* **SSL History**: Los operadores reutilizan certificados SSL en múltiples servidores (dentro de infraestructura de Alibaba Cloud en Singapur y EE.UU.) para mantener el control [citation:6].
* **Dominios con TLD Poco Comunes**: Utilizan dominios como `.fit`, `.top`, `.store`, `.wiki`, `.info`, `.work` para sus C2 [citation:6].

== Impacto y Alcance ==

Joker es una de las amenazas móviles más prolíficas de la historia por su persistencia y alcance:

* **Alcance Masivo**: Se ha estimado que Joker ha estado presente en más de 13,000 aplicaciones desde 2016 [citation:11].
* **Descargas Millonarias**: Solo entre 2025 y 2026, Doctor Web reportó que las muestras de Joker encontradas en Google Play acumularon millones de descargas [citation:1]. En una campaña de agosto de 2025, Zscaler descubrió 77 aplicaciones maliciosas en Google Play (muchas con Joker) que sumaban más de '''19 millones de descargas''' [citation:7][citation:8][citation:12].
* **Fraude de Suscripciones**: Ha generado pérdidas millonarias para los usuarios al suscribirlos a servicios premium sin su consentimiento [citation:1][citation:2][citation:3].
* **Robo de Datos**: Ha robado información personal de millones de usuarios, incluyendo contactos, SMS y datos bancarios.

## Estrategias de Mitigación

Para protegerse contra Joker y otros malware similares:

* **Fuentes de Descarga**: Instalar aplicaciones únicamente desde la Google Play Store, aunque no es una garantía absoluta, reduce el riesgo [citation:9][citation:11].
* **Verificación de Aplicaciones**: Antes de instalar, leer reseñas, comprobar la reputación del desarrollador y el número de descargas [citation:9][citation:11].
* **Permisos de Accesibilidad**: No otorgar permisos de accesibilidad a aplicaciones que no provengan de fuentes totalmente fiables [citation:9].
* **Permisos de Notificaciones**: No otorgar permisos de acceso a notificaciones (Notification Listener) a aplicaciones sospechosas [citation:2][citation:9].
* **Google Play Protect**: Asegurarse de que Google Play Protect esté activo en el dispositivo para detectar y eliminar aplicaciones maliciosas [citation:7].
* **Sistema y Apps Actualizados**: Mantener el sistema operativo Android y las aplicaciones actualizadas para aplicar los parches de seguridad más recientes.
* **Seguridad en el Dispositivo**: Utilizar una solución de seguridad móvil que ofrezca protección en tiempo real.
* **Cultura de Seguridad**: Desconfiar de enlaces y archivos adjuntos en correos y SMS de remitentes desconocidos, incluso si parecen provenir de contactos de confianza [citation:9][citation:11].

== Relación con otros conceptos ==

* '''[[Malware]]''': Joker es un tipo de malware diseñado para Android.
* '''[[Troyanos]]''': Su función principal es el fraude de suscripciones y el robo de datos.
* '''[[Spyware]]''': Espía las actividades del usuario (SMS, llamadas, contactos, capturas de pantalla).
* '''[[Ingeniería Social]]''': Utiliza el engaño (aplicaciones falsas) para que el usuario instale el malware.
* '''[[Autenticación de Dos Factores (2FA)]]''': Joker la subvierte interceptando los códigos SMS de verificación [citation:3].
* '''[[Cifrado]]''': Utiliza cifrado para ocultar su carga maliciosa y comunicaciones [citation:3][citation:9].

* [[Mitigaciones Troyanos|Relación de acciones para mitigar el riesgo de esta actividad maliciosa]].

== Véase también ==

* [[Malware]]
* [[Ciberdelincuentes]]
* [[Troyanos]]
* [[Android]]
* [[Anubis]]
* [[Familias de malware]]

----

''Esta página forma parte de la [[:Categoría:Familias de malware]].''