Согласно опубликованному компанией Google отчёту, начиная с 2017 года по настоящее время специалисты в общей сложности обнаружили около 1700 приложений, инфицированных вредоносом Joker (он же Bread). Как минимум одно такое семейство малвари были замечено специалистами CSIS Security Group и проникло в Google Play: 24 вредоносных приложения были загружены более 472 000 раз в сентябре 2019 года.

Эксперты Google рассказывают, что в разное время они наблюдали три и более активных варианта малвари, использующих различные подходы и нацеленные на разные устройства. Но порой случались и пиковые периоды, когда в течение одного дня активность проявляли до 23 различных приложений. Зачастую это были просто клоны различных популярных приложений из каталога Google Play.

Изначально малварь была разработана для осуществления SMS-мошенничества, но с тех пор многое изменилось, особенно после введения новой политики, ограничивающей использование SEND_SMS, а также повышения активности защиты Google Play Protect. Из-за этого новые версии Joker используют другой вид мошенничества: обманом заставляют своих жертв подписываться на различные виды контента или покупать его, оплачивая со счета мобильного телефона. Чтобы осуществлять это без взаимодействия с пользователем, операторы малвари используют инъекции кликов, кастомные HTML-парсеры и SMS-ресиверы.

Эксперты отмечают, что многие образцы Joker, похоже, были созданы специально ради попыток незаметно проникнуть в каталог Google Play и более нигде замечены не были.