McAfee beschrieb am 23. Oktober 2026, wie Apps der Kampagne RewaFake auf Google Play bekannte Dienste nachahmten und Nutzer über eine Fernkonfiguration auf Webseiten weiterleiteten. In McAfees Analyse öffneten die Apps diese Ziele in einem Browser ohne sichtbare Adresszeile. Die Sicherheitsfirma ordnete der Kampagne mehr als 1.900 Apps und Erkennungen auf mehr als 500.000 Geräten in über 190 Ländern zu.

Wie die Apps zu fremden Webseiten führten

Die Apps ähnelten Angeboten bekannter Marken. McAfee nannte unter anderem CapCut, Roblox, Zelle, PayPal, Netflix, Xbox Game Pass, Siri und iMessage als Namen, die nachgeahmt wurden. Die Apps teilten laut McAfee Code und kommunizierten mit demselben entfernten Server.

Eine Fernkonfiguration lieferte den Apps eine Zieladresse im Feld qureka_url. Anschließend öffneten sie die Webseite in einem eingebetteten Browser oder einem Chrome Custom Tab, einer Browseransicht innerhalb einer App. Dabei war die Adresszeile verborgen. Die angezeigte App konnte Nutzer so zu einer Webseite führen, deren Zieladresse in der Ansicht nicht zu sehen war.

Was McAfee auf den Zielseiten beobachtete

McAfees Tests stießen auf Werbeanzeigen und quizartige Seiten mit Glücksspielthemen. Einige Anzeigen führten laut McAfee zu Abonnementformularen, die nach Zahlungskartendaten fragten. Die Weiterleitungstechnik könnte nach Einschätzung des Unternehmens auch für Phishing oder den Diebstahl von Zugangsdaten genutzt werden; McAfee berichtete jedoch nicht von beobachtetem Zugangsdaten-Diebstahl in seinen Tests.

Nach McAfees Darstellung nutzten die untersuchten Apps keine Softwarelücken und verlangten keine gefährlichen Android-Berechtigungen. Der berichtete Ansatz setzte auf täuschende App-Einträge und veränderbare Webziele. McAfee schätzte anhand der Veröffentlichungsmuster, dass die Betreiber täglich 20 bis 25 neue Apps veröffentlichten.

McAfees Zahlen für Deutschland

Für Deutschland meldete McAfee 5.016 Erkennungen, 4.465 geschützte Geräte und 444 entdeckte Apps. Unter den gemeldeten Lockangeboten entfielen 22 Prozent auf Gesundheits-Apps, 16 Prozent auf Spiele und 13 Prozent auf KI-Tools. Die Zahlen beschreiben McAfees eigene Telemetrie, keine bundesweite Infektionsrate.

Worauf Nutzer vor der Installation achten sollten

McAfee empfiehlt, den Entwicklernamen zu prüfen, statt sich allein auf App-Name, Logo oder Downloadzahl zu verlassen. Für Finanz-Apps rät das Unternehmen dazu, den Download über die eigene Website der Bank oder einen von ihr verifizierten Link aufzurufen.

McAfee zufolge meldete das Unternehmen die identifizierten Apps an Google; Google entfernte anschließend die von McAfee gemeldeten Apps. Diese Reaktion beschreibt McAfee in seiner Untersuchung vom 23. Oktober 2026.