Segundo uma investigação publicada em 23 de outubro de 2026, os apps do RewaFake recebiam um endereço de internet por configuração remota e o abriam em um navegador com a barra de endereço oculta. A McAfee atribuiu à campanha mais de 1.900 apps diferentes e detecções em mais de 500 mil dispositivos, em mais de 190 países.

Como o RewaFake redirecionava os apps falsos

Os apps imitavam serviços e marcas conhecidas, como CapCut, Roblox, Zelle, PayPal, Netflix e Xbox Game Pass. A McAfee identificou código compartilhado e comunicação com o mesmo servidor remoto entre os aplicativos associados à campanha.

Uma configuração enviada por esse servidor continha o campo qureka_url, que indicava a página a ser aberta. O app carregava o endereço em um navegador integrado ou em uma aba personalizada do Chrome, sem exibir a barra de endereço. Assim, a página aparecia dentro do fluxo iniciado pelo app, enquanto o endereço real ficava oculto.

A McAfee estimou que os operadores publicavam de 20 a 25 apps novos por dia, com base nos padrões de publicação que analisou. Um exemplo citado pela empresa foi a listagem falsa “Zelle® Easy Secure Payments”, pacote com.premkumar.zelleapp5, que teria ultrapassado 100 mil downloads.

O que aparecia depois do redirecionamento

Nos testes descritos pela McAfee, os destinos exibiam anúncios e questionários com temas de apostas. Alguns anúncios levavam a páginas de assinatura que pediam dados de cartão. A empresa observou ofertas de até US$ 49,99 por mês nessas páginas.

A McAfee apontou que o mecanismo de redirecionamento poderia ser usado para phishing ou roubo de credenciais. Nos comportamentos que descreveu, porém, o conteúdo observado foi publicidade e páginas de assinatura.

A empresa também afirmou que os apps analisados não exploravam vulnerabilidades do Android nem solicitavam permissões perigosas. O esquema dependia de listagens que imitavam marcas conhecidas e de páginas definidas remotamente, em vez de um exploit no sistema.

O que conferir antes de instalar um app

A McAfee recomenda verificar a identidade do desenvolvedor e não confiar apenas no nome, no logotipo ou na quantidade de downloads. Para instalar um app bancário, a orientação é recorrer ao site do próprio banco ou a um link verificado.

A McAfee disse que comunicou ao Google os apps identificados e que o Google os removeu depois da notificação.