#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Android/RewaFake использовал более 1900 приложений-имперсонаций в Google Play, чтобы достичь более чем 500 000 устройств. Эти приложения выступали в роли брендированных перенаправителей, тайно открывая в скрытых браузерах страницы азартных игр, рекламы, подписок или потенциальные фишинговые страницы, управляемые удаленно. Операторы быстро меняли бренды и учетные записи разработчиков, чтобы уклоняться от обнаружения и использовать доверенное распространение через магазины приложений.
-----

Кампания Android/RewaFake включала более 1 900 поддельных приложений, распространявшихся через Google Play и установленных на более чем 500 000 устройств в свыше 190 странах. Наибольшая концентрация затронутых пользователей наблюдалась в Индии, России и Соединенных Штатах. По имеющимся данным, операторы выпускали примерно 20–25 новых приложений в день, используя различные учетные записи разработчиков, темы, бренды и цели имперсонации, чтобы уклоняться от обнаружения и перехватывать поисковый трафик.

Приложения имитировали популярные сервисы и продукты, в том числе CapCut, Roblox, Netflix, PayPal, Zelle, Apple Pay, Binance, банковские сервисы, Siri, iMessage, Huawei Health и Xbox Game Pass. Некоторые из них были нацелены на сервисы, у которых нет легитимного приложения для Android, такие как App Store, Siri, iMessage, FaceTime и Apple Pay от Apple, либо на сервисы, не имеющие отдельного потребительского приложения, такие как Zelle. Приложения использовали общую кодовую базу, демонстрировали схожее поведение и обращались к одной и той же удаленной инфраструктуре.

Каждое приложение функционировало преимущественно как брендированная оболочка, содержащая перенаправлятор, а не как легитимная реализация имитируемого сервиса. При запуске приложение получало блок конфигурации с сервера. Поле `qureka_url` определяло адрес назначения, который открывался во встроенном браузере или в Chrome Custom Tab с скрытой адресной строкой. Наблюдаемые адреса назначения вели к викторинам в стиле азартных игр, рекламным воронкам и страницам, запрашивающим данные платежных карт для якобы бесплатных пробных периодов, которые могли привести к регулярным списаниям средств в размере до 49,99 долл. США в месяц. Адрес назначения, управляемый сервером, мог быть изменен без обновления приложения или повторной проверки в магазине приложений, что создавало возможность, которая также могла использоваться для проведения фишинга или кражи учетных данных.

Приложения, как правило, не запрашивали опасных разрешений и не использовали эксплойты, повышение привилегий, рутинг, динамическую загрузку кода, зашифрованные полезную нагрузку, обфускацию или цепочки дропперов. Их основная угроза проистекала из Имперсонации, обманный дистрибуции через официальный магазин приложений, скрытой навигации в браузере и удалённо управляемого перенаправления на страницы мошеннической рекламы и подписок. Google удалил выявленные приложения после их сообщения.