Nell’indagine pubblicata il 23 ottobre 2026, McAfee ha attribuito alla campagna RewaFake oltre 1.900 app e rilevazioni su più di 500.000 dispositivi in oltre 190 Paesi. Le app imitavano servizi noti e, secondo l’azienda, usavano una configurazione remota per aprire pagine web in un browser con la barra degli indirizzi nascosta.

Come RewaFake reindirizzava le app false

Le app individuate da McAfee condividevano codice e comunicavano con lo stesso server remoto. Una configurazione ricevuta dal server conteneva il campo qureka_url, che indicava la pagina da aprire. L’app la mostrava in un browser incorporato oppure in una scheda personalizzata di Chrome, senza rendere visibile l’indirizzo del sito.

Così, una schermata o un nome familiare potevano precedere l’apertura di una pagina web scelta a distanza. McAfee stimò che gli operatori pubblicassero da 20 a 25 nuove app al giorno, sulla base dei ritmi di pubblicazione osservati.

Che cosa appariva dopo il reindirizzamento

Nei test descritti da McAfee, le pagine mostravano annunci e quiz a tema scommesse. Alcuni annunci conducevano a moduli di abbonamento che chiedevano i dati della carta e proponevano importi fino a 49,99 dollari statunitensi al mese.

McAfee ha indicato il phishing e il furto di credenziali come possibili usi del meccanismo di reindirizzamento. La sua analisi descrive pagine pubblicitarie e di abbonamento osservate, non un esito di furto di credenziali.

Il ruolo dei nomi e dei permessi Android

Secondo McAfee, le app analizzate non sfruttavano vulnerabilità di Android né chiedevano permessi considerati pericolosi. L’inganno si basava sulla presentazione delle app e sull’apertura di contenuti web configurabili da remoto.

Un esempio citato da McAfee è l’inserzione falsa “Zelle® Easy Secure Payments”, che avrebbe superato 100.000 download. Il dato riguarda i download indicati per quella scheda, non il numero di persone infettate. McAfee ha nominato anche app che imitavano servizi come CapCut, Roblox, PayPal, Netflix e Xbox Game Pass: i nomi delle aziende e dei servizi legittimi non identificano le singole inserzioni contraffatte.

McAfee consigliava di controllare l’identità dello sviluppatore, senza affidarsi soltanto al nome, al logo o al numero di download. Per un’app finanziaria, suggeriva di partire dal sito della propria banca o da un collegamento verificato dalla banca.

McAfee ha riferito di aver segnalato a Google le app individuate e che Google le ha rimosse dopo la comunicazione dei risultati.