Изследователи от Malwarebytes Labs алармират за нов тип измама, при която потребителите смятат, че инсталират легитимно приложение от Google Play или Apple App Store, но всъщност получават Progressive Web App (PWA) – вид уеб-базирана „фалшива програма“.
Въпреки че иконата на приложението се появява на началния екран и приложението работи нормално, под капака потребителят всъщност е свързан към злонамерен сайт. Тези PWA могат да се обновяват в реално време, позволявайки на престъпниците да променят съдържанието на устройството незабавно.
Мащаб и цел на атаката
Кампанията, наречена FriendlyDealer, се фокусира върху хазартни потребители. Изследователите установяват:
- над 1,500 злонамерени домейна имитират официалните магазини за приложения
- повече от 20 фалшиви казино марки, включително „Tower Rush“, „Chicken Road“ и „BEAST GAMES: ICE FISHING“
- използване на мини-игри за създаване на ангажираност преди показване на фалшивия магазин
Потребителите виждат реалистични копия на магазините, с правилни шрифтове, ревюта и икони, което почти не позволява да се разпознае измамата.
Технически трикове за инсталиране
Фалшивите приложения използват умели техники, за да заобиколят ограниченията на Android и iOS:
- при Android: препращане към Chrome за извършване на инсталацията
- при iOS: препращане към Safari за същата цел
- вграден push worker за известия и тракинг скриптове
- всеки домейн е разполагаем – бързо се създават нови марки и сайтове чрез един шаблон
Така злонамерените PWA могат да насочват жертвите към нерегулирани хазартни сайтове и да генерират приходи чрез affiliate комисионни – от $50 до $400 на потребител, който депозира средства.
Произход на атаката
Според анализа на Malwarebytes Labs, зад кампанията вероятно стои рускоезичен колектив. Доказателства включват:
- руски коментари и debug низове в кода
- препратки към Yandex телеметрия
Въпреки че фалшивите приложения не крадат пароли и не поемат контрола над устройството, те водят до финансови загуби за жертвите.
Как да премахнете фалшивото приложение
За Android:
- Дълго натиснете иконата на приложението → Uninstall, или
- Настройки → Apps → премахнете всички неизвестни приложения
- За остатъчни данни: Chrome → Settings → Site settings → All sites → Clear & reset за конкретния домейн
- Проверете и премахнете ненужни известия
За iOS:
- Премахнете иконата на „приложението“ → това изтрива кеша
- Safari → Settings → Advanced → Website Data → изтрийте данните на злонамерения сайт
- Safari → Settings → Notifications → премахнете достъп до нежелани домейни
Повторете тези стъпки и за други браузъри, които използвате.
Защо този метод е опасен
- изглежда като легитимно приложение и дори функционира нормално
- съдържанието може да се променя динамично, което увеличава риска от бъдещи измами
- измамниците контролират къде потребителите ще бъдат пренасочени – към хазарт, phishing сайтове или други финансови измами
Това е класическа социално-инженерна измама, комбинирана с технически трикове за максимална достоверност.
