W śledztwie opublikowanym 23 października 2026 r. McAfee opisało, jak aplikacje RewaFake pobierały zdalną konfigurację i otwierały wskazaną stronę w przeglądarce z ukrytym paskiem adresu. Firma powiązała z kampanią ponad 1 900 aplikacji i wykryła je na ponad 500 000 urządzeń w ponad 190 krajach.

Jak RewaFake przekierowywał użytkowników

Aplikacje podszywały się pod znane usługi i gry, między innymi CapCut, Roblox, Zelle, PayPal, Netflix i Xbox Game Pass. Według McAfee łączyły je wspólny kod i komunikacja z tym samym zdalnym serwerem. Sama znajoma nazwa lub marka nie oznacza jednak, że każda podobnie nazwana aplikacja należy do kampanii.

Serwer dostarczał konfigurację z polem qureka_url, które wskazywało stronę docelową. Aplikacja otwierała ją w przeglądarce wbudowanej w program lub w karcie Chrome, ale pasek adresu był ukryty. Użytkownik mógł więc zobaczyć stronę bez zwykłej wskazówki, jaki adres ją obsługuje.

McAfee szacowało, że operatorzy publikowali 20–25 nowych aplikacji dziennie. To tempo firma wyliczyła na podstawie wzorców publikacji.

Co pojawiało się po przekierowaniu

W testowanych przez McAfee przypadkach strony docelowe wyświetlały reklamy i quizy stylizowane na gry hazardowe. Niektóre reklamy prowadziły do formularzy subskrypcji proszących o dane karty płatniczej; oferty sięgały 49,99 USD miesięcznie.

McAfee opisało phishing i kradzież danych logowania jako możliwe wykorzystanie mechanizmu przekierowań, a nie jako skutek zaobserwowany w testach. Firma informowała też, że analizowane aplikacje nie wykorzystywały luk w zabezpieczeniach Androida ani nie prosiły o niebezpieczne uprawnienia. W tym przypadku oszustwo opierało się na podszywaniu się pod znane marki i kierowaniu użytkownika do zdalnie wskazanych stron.

Co sprawdzić przed instalacją

McAfee zaleca sprawdzenie, kto jest deweloperem aplikacji, zamiast polegania wyłącznie na nazwie, logo lub liczbie pobrań. W przypadku aplikacji bankowej firma radzi korzystać ze strony banku albo z odnośnika, którego autentyczność bank potwierdza. Wysoki licznik pobrań sam w sobie nie dowodzi, że aplikacja jest prawdziwa.

McAfee podało, że po zgłoszeniu ustaleń Google usunęło wskazane przez firmę aplikacje. To relacja McAfee o reakcji Google.