McAfee beschreef op 23 oktober 2026 hoe RewaFake-nepapps op Google Play via een configuratie op afstand naar webpagina’s werden doorgestuurd. De apps openden die pagina’s in een browservenster zonder zichtbare adresbalk.

McAfee koppelde meer dan 1.900 apps aan de campagne en meldde detecties op meer dan 500.000 apparaten in ruim 190 landen. Het bedrijf schatte op basis van publicatiepatronen dat er dagelijks 20 tot 25 nieuwe apps verschenen.

Hoe RewaFake apps naar webpagina’s stuurde

De apps deelden volgens McAfee code en maakten verbinding met dezelfde externe server. Een configuratiebestand bevatte het veld qureka_url, dat de bestemming bepaalde. De app opende die URL vervolgens in een ingebouwde browser of een Chrome Custom Tab, met de adresbalk verborgen.

Zo kon een app die zich voordeed als een bekende dienst een webpagina openen waarvan de bestemming op afstand was ingesteld. McAfee noemde onder meer specifieke nepapps die zich voordeden als CapCut, Roblox, Zelle, PayPal, Netflix en Xbox Game Pass.

Wat gebruikers op de doorgestuurde pagina’s konden zien

McAfee trof advertenties en quizzen met een gokthema aan. Sommige advertenties leidden naar abonnementsformulieren die om betaalkaartgegevens vroegen. De omleidingsmethode zou volgens McAfee ook voor phishing of het stelen van inloggegevens gebruikt kunnen worden.

McAfee beschreef advertenties en abonnementspagina’s als waargenomen gedrag; het presenteerde die mogelijke inzet voor phishing niet als een vastgestelde uitkomst. De apps hoefden volgens de analyse geen Android-kwetsbaarheid uit te buiten of gevaarlijke machtigingen aan te vragen. De misleiding zat in de appvermelding en de doorgestuurde webpagina.

Waar je op kunt letten bij het installeren

Controleer wie de ontwikkelaar van een app is en vertrouw niet alleen op een bekende naam, een logo of een hoog downloadcijfer. McAfee meldde bijvoorbeeld dat een nepapp met de naam Zelle® Easy Secure Payments meer dan 100.000 downloads had. Dat aantal betrof downloads van de vermelding, niet het aantal getroffen gebruikers.

Voor een bankapp raadt McAfee aan de app te openen via de eigen website van de bank of een link die de bank zelf heeft geverifieerd. McAfee meldde dat Google de apps verwijderde die het bedrijf na zijn melding had geïdentificeerd.