⚡ Обзор трендов за неделю

👆 Каким резидентным прокси доверяют разработчики Suno? Ответ есть: Bright Data (бывшая Luminati, читайте в этом посте). Об этом стало известно в результате утечки исходного кода. Хакер, скрывающийся под ником ellie.191, поделился с 404 Media информацией о взломе, который произошёл ещё в ноябре 2025 года. Suno умолчала об инциденте, но хакер раскрыл, что среди исходных кодов обнаружились инструменты для скрейпинга и доказательства, что компания активно применяла краденые данные для обучения: почти 114 тысяч часов музыки с YouTube Music, данные с Genius, Deezer, Jamendo и других площадок. Для сбора аудио с YouTube разработчики как раз и использовали прокси. Вывод: хотите быть как Suno — берите Bright Data (не финансовая рекомендация).

👆 Программа обязательной верификации разработчиков Google не такая уж обязательная. В строгих правилах нашлось важное уточнение: новые меры безопасности не распространяются на пользователей из подсанкционных стран. Будем заливать APK на Кубу, Иран и Северную Корею?

Коллег из более благополучных стран, наверное, заинтересует реально крутая возможность: новая программа Google Play Catalog Access — API для Google Play, позволяющее получить доступ к данным каталога прямо на Cloud Storage. Своим появлением эта программа обязана всё тому же знаменитому разбирательству с Epic Games, так что предназначена она для аккредитованных независимых сторов приложений и с 22 июля начнёт работу в США. По требованиям, стор должен не только сам предотвращать распространение вредоносного ПО, но и проходить регулярные проверки Google. За такие блага корпорация добра взимает ежегодный сбор — 5 000 долларов, зато обещает доступ к данным в реальном времени и удобные инструменты для инициации установки на устройстве через Play Services — качать APK сомнительными способами не придётся.

Зато качать APK придётся пользователям из РФ: для них, видимо, это остаётся последним способом установить заблокированные из-за санкций MAX, VK, Одноклассники и другие приложения холдинга Mail․ru. Можно было бы сказать, что официальным способом установки станет RuStore, в спешке проданный VK своему гендиректору, но не думаю, что Google подпишет RuStore доступ к каталогу.

Также Google выкатила скилл для анализа исходного кода проекта на предмет соответствия правилам Google Play. Из интересного, там есть официальный скрипт для скрейпинга данных со страничек Google Play, можно подсмотреть, на что обращает внимание модерация, но каких-то суперинсайдов не видно.

✏️ Интересное чтение на выходные: шрифт с секретом, AI делает музыкальные клипы в ограниченном бюджете, Firefox на WebAssembly, загадка ДЦ Telegram


✈ Топ приложений на радарах

🍩 Swift Number Quest ~ 5 400 установок/день, 34 дня онлайн. Стиль: #light
🍩 Cluck & Road King ~ 1 700 установок/день, 66 дней онлайн. Стиль: #chicken
🍩 Fishing Rush ~ 2 200 установок/день, 67 дней онлайн. Стиль: #fish
🍩 Rush of Towers ~ 1 500 установок/день, 79 дней онлайн. Стиль: #towerrush
🍩 Chicken Hatch ~ 600 установок/день, 48 дней онлайн. Стиль: #chicken
🍩 Fortune Lucky Gems ~ 2 100 установок/день, 57 дней онлайн. Стиль: #aztec

🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 VIP Joker Стиль: #joker #fruits
🔥 Ice Catch Fishing Стиль: #fish
🤐 Crush Tower Build Стиль: #towerrush
🔫 T0wer Rush Стиль: #towerrush
🦆 Scarab Curse Стиль: #egypt
🔱 Tower Blaaze Стиль: #towerrush

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

BANDA, ОТКРЫВАЕТ ДОСТУП КО ВСЕМ ПРИЛАМ! 💵

Объявляем летние каникулы для партнёров! Все что ранее было Started, Basic, VIP доступно для всех партнеров!

Сорсы ставят палки в колеса, а мы хотим дать вам больше возможностей!

Мы всегда были и остаёмся на стороне наших партнёров: помогаем с заливами, делимся решениями и делаем всё, чтобы вы могли продолжать работать и зарабатывать. Поэтому до конца лета открываем полный доступ ко всем категория прилок BANDA

ВСЕМ с сегодняшнего дня и до конца лета объявляется ОТКРЫТЫЙ ДОСТУП КО ВСЕМ АППКАМ ВСЕХ КАТЕГОРИЙ, НИКАКИХ ОГРАНИЧЕНИЙ ПО VIP

Прилки доступны всем – статистика по ним тоже в открытом доступе в CRM, сможете сравнивать показатели и выбирать лучшее

ЗАЛИВАЙ ⚡️ @BandaApps_Manager

Banda Apps | Instagram | Manager

⚡ Обзор трендов за неделю

👆 Namecheap отдала аккаунт с чужими доменами первому встречному. Агент поддержки сменил пароль и адрес электронной почты по просьбе третьего лица в ходе телефонного звонка, причём законный владелец увидел уведомление о сбросе пароля и сразу же создал тикет в службе поддержки. Ни 2FA, ни активное сопротивление владельца не помогли предотвратить передачу доступа.
Социальная инженерия — хотя данный случай можно назвать ею лишь с натяжкой — уверенно сохраняет популярность и эффективность. Например, таким же способом злоумышленнику удалось заменить DNS-записи appsflyer.com, в тот раз через агента поддержки другого регистратора — видимо, GoDaddy.
В комментариях советуют альтернативы в виде Porkbun, Dynadot, Cloudflare и других, но у коллег, как всегда, несколько иные предпочтения.

👆 Google затягивает гайки в WebView. Обновление системного компонента привнесло ограничение на срок действия конечных TLS-сертификатов — до 200 дней. Из-за этого инструменты вроде Burp Suite ломаются, поскольку по умолчанию срок действия генерируемых ими сертификатов равен одному году. Google намеренно сокращает максимально допустимый срок действия сертификатов для стимулирования автоматизации их выпуска.
Решить эту проблему несложно: достаточно добавить к Burp mitmproxy. Скорее всего, PortSwigger решит эту проблему в ближайшем будущем.

А ещё корпорация добра нацелилась на наши лица: Google внедряет верификацию аккаунта по видеоселфи. Компания отдельно подчёркивает, что при помощи видео можно будет не только войти в аккаунт, но и восстановить утраченный доступ. Исследователь из Malwarebytes не советует пользоваться данной функцией, но что-то мне подсказывает, что спрос на дипфейки у фарма Play Console скоро может подрасти.

👆 GPT-5.6 Sol Ultra нашла 0-day уязвимость в WordPress, потратив на это 25 долларов. Вообще, несмотря на то, что WP часто фигурирует в заголовках, она не так уж плоха: по статистике более 40% сайтов работают на ней, а уязвимостей нулевого дня в ядре не находили очень давно. Новая лазейка гениальна в своей простоте, но, на мой взгляд, сложна для понимания человеком — Sol сначала нашла SQLi в SELECT и потом раскрутила её до создания нового администратора. Автор описывает весь процесс в подробностях, а помимо отменного технопорно я нахожу данный текст ценным ещё и в практическом смысле 😏

👆 Очередной проект Евгения Negro схлопнулся — AFFX Space. За ним только и успевай записывать, его проекты уже фигурировали в моём сериале "Неудачные проекты", и тогда мы обсуждали судьбу Traffis. Что ж, Traffis почил, теперь — и офис академии. У Евгения ещё много всего, stay tuned.

✏️ Интересное чтение на выходные: страшные меню, AI рисует Мону Лизу и пеликанов, выживаем с Postgres.

✈ Топ приложений на радарах

🍩 ShieldGuard ~ 3 300 установок/день, 39 дней онлайн. Стиль: #light
🍩 Swift Number Quest ~ 5 800 установок/день, 41 день онлайн. Стиль: #light
🍩 Cluck & Road King ~ 1 900 установок/день, 73 дня онлайн. Стиль: #chicken
🍩 Rush of Towers ~ 1 800 установок/день, 86 дней онлайн. Стиль: #towerrush
🍩 Fortune's Big-Gems ~ 1900 установок/день, 60 дней онлайн. Стиль: #aztec
🍩 Prism Jewel Slots ~ 1 400 установок/день, 65 дней онлайн. Стиль: #jewels

🔥 Лучшие приложения сервисов аренды (обозначения)

🔫 T0wer Rush Стиль: #towerrush
🔥 The Fruits Boom Стиль: #wheel #fruits #sevens
🔫 Rоyаl Fruіts Стиль: #fruits
🔫 Сhlсkеn R0аd Стиль: #fruits
🔥 VIP Joker Стиль: #joker #fruits
🔫 777 Element Стиль: #sevens #wheel #fruits

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

Мобильное приложение Папы взломали

В начале 2019 года Папа Франциск лично представил инновационный способ обратиться к Богу — мобильное приложение Click To Pray для Android, iOS и браузера. Занимался поддержкой сам Ватикан, а разработкой некое агентство La Machi.

Инженеры La Machi оставили в API элементарную дыру: порядковые ID пользователей без проверки прав на чтение. Меняешь цифру — получаешь чужие имя, почту, страну, дату рождения и статус аккаунта. А их там 719 517 штук, причём на API не было даже рейтлимита.

На честном слове держались не только данные аккаунтов, но и проверка e-mail: секрет, который должен был отправляться юзеру только на почту, приходил прямо в теле ответа на запрос при регистрации аккаунта 😅

А в январе 2026 года исследователь BobDaHacker сообщил об уязвимости сразу всем контактам, какие нашёл. Не знаю, как там с молитвами, но на эти письма ни ему, ни СМИ, с которыми он связался позже, никто не ответил. Через полгода хакер опубликовал разбор, одновременно с ним крупный профильный ресурс Dark Reading подтвердил проблему. И только после широкой огласки API тихо починили, причём Ватикан никак не комментировал ситуацию.

А что же сторы, Google Play и App Store? Да ничего, в форме "безопасность данных" так и пишут: собираются имя и другие сведения, данные шифруются при передаче. Стор не гарантирует, что эти данные потом не раздаются направо и налево, хоть через уязвимость вроде этой, хоть через дата-брокеров, хоть через Папу Римского лично.

Доказательств, что базу уже успели выгрузить, нет. Остаётся только верить.

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Специалисты компании Novee задокументировали новую технику атаки на Android WebView, ведущую к выполнению произвольного JavaScript-кода в контексте любого домена (UXSS). Атакующий может захватывать аккаунты, красть сессионные куки, обходить политики безопасности контента и многое другое. При этом ему не нужно контролировать хост-приложение: достаточно, чтобы вредоносный код был запущен в контексте WebView. Исследователи проанализировали 20 приложений разного назначения — браузеры, предустановленные OEM-программы, мессенджеры и платформы электронной коммерции с миллиардами установок — 12 из них оказались подвержены данной проблеме.

Уязвимость возникает из-за разности контекста во время проверки прав доступа и фактического использования JavaScript-моста между нативным кодом и страницей. Всего специалисты выделили две основные семьи паттернов, ведущих к UXSS: в одном случае злоумышленнику достаточно установить обработчик определённого события и перенаправить пользователя на целевую страницу, а в другом эксплуатируется распространённая ошибка обработки навигации.

WebView является важным компонентом экосистемы, но думаю, что если его проблемам будут уделять больше внимания, то функциональность браузера может быть урезана. Google последовательно забирает у разработчиков свободный доступ к различным API — файлы, уведомления, буфер обмена, а вскоре и установку APK.

👆 Против Apple подан коллективный иск — компания распространяла поддельную версию криптокошелька Sparrow Wallet через App Store. Несмотря на неоднократные предупреждения от реального разработчика приложения, Apple не только не удалила подделку, но и добавляла её в списки рекомендаций. Аккаунт настоящего разработчика кошелька компания, наоборот, забанила за то, что он, не добившись реакции на предупреждения о подделке, пытался опубликовать в App Store заглушку, сообщающую, что Sparrow Wallet не поддерживается на iOS.

Проблема подделок носит системный характер: похожая история была с приложением Ledger и ещё 26 пакетами, и тоже в App Store. В этом иске потерпевшие заявляют об убытках более 1.8 млн долларов, а в истории с Ledger сообщалось о 9.5 млн потерь.

👆 Журналисты OCCRP обнаружили предполагаемую схему слежки через мобильные приложения Nicegram, eSIM Plus и другие. Анализ кода показал, что разработчик приложения, прикрывающийся литовским прокси Appvillis, на самом деле является белорусской компанией Mobyrix, принадлежащей связанному с окружением Лукашенко бизнесмену Андрею Шимановичу. eSIM Plus, например, передаёт аналитические данные через AppMetrica Яндексу и маршрутизирует звонки через российский Voximplant.

Происхождение кода непрозрачно для пользователей, а магазины приложений игнорируют проблему. Google пытается поддерживать SDK Index, но на страницах Play Store не раскрывает, какие библиотеки используются; к тому же AppMetrica в SDK Index значится как доверенная. Вместе с этим американские исследователи обнаружили, что 7% приложений, ориентированных на военный персонал США, включают код компаний из стран-противников — прежде всего Китая и РФ. Чаще это код Huawei, Яндекс, Pushwoosh.

✏️ Интересное чтение на выходные: GPT 5.6 Sol 24 часа управлял приложением в App Store (он пошёл закупать мотив), 98.css

✈ Топ приложений на радарах

🍩 ShieldGuard ~ 3 800 установок/день, 46 дней онлайн. Стиль: #light
🍩 Prism Jewel Slots ~ 1 500 установок/день, 72 дня онлайн. Стиль: #jewels
🍩 Edge Flock ~ 1 200 установок/день, 21 день онлайн. Стиль: #chicken
🍩 Joker Flame ~ 800 установок/день, 72 дня онлайн. Стиль: #jocker #sevens #wheel
🍩 Fortune Maya Gems Match ~ 600 установок/день, 36 дней онлайн. Стиль: #aztec
🍩 Fortune's Gems Ancestral Gold ~ 500 установок/день, 37 дней онлайн. Стиль: #aztec

🔥 Лучшие приложения сервисов аренды (обозначения)

🔫 T0wer Rush Стиль: #towerrush
👨‍💻 Aviator Стиль: #aviator
🦋 Tiger Mood Стиль: #tiger #china
🔫 Сhlсkеn R0аd Стиль: #fruits
🔫 Tower Rush Стиль: #towerrush
🤐 Crush Tower Build Стиль: #towerrush

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Meta в течение 9 месяцев демонстрировала ИИ-ЦП (CSAM по-ихнему) в десятках рекламных объявлений. Кампания китайских арбитражников таргетировалась на США, Великобританию, Францию и прочий Т1, а целью продвижения были сайты и "раздевающие" приложения. Возможный секрет "успеха" — минимальный охват: лучшее объявление увидели всего 2.5 тыс зрителей из Европы (данные по США Meta не раскрывает).
Журналисты поделились подробными описаниями креативов, но ссылок не дали. Они отмечают, что за последние недели это уже второй случай, и сетуют на то, что в библиотеке рекламы нельзя жаловаться на уже неактивные объявления.

👆 Уже знакомый нам по публикации о Папе Римском BobDaHacker рассказал об уязвимости в популярном ИИ-помощнике для митингов tl;dv. Обнаруженная уязвимость вполне в его стиле: кто-то опять забыл настроить правила доступа. В результате любой пользователь сервиса мог получить список всех 181 874 встреч на платформе, а среди проверенных 27 тыс. встреч более тысячи оказались публичными — с доступом к содержимому записей, включая технические созвоны и миты государственных организаций. Кстати, украинское Минцифры тоже в их числе, ну это и не удивительно — роль компьютерной безопасности ведь немного переоценена.

👆 Google пропускает вообще всё. Думаю, многие обратили внимание, что модерация как аккаунтов, так и приложений стала значительно слабее. Исчезли аукционы за аккаунты по 3 500 долл. и вопросы в чатах по типу "как зарегистрировать DUNS", а большинство приложений публикуются на физиках с единственным пакетом. Если вы хотели заходить в разработку, залив или фарм Google Play: сейчас лучшее время.
Рынок перенасыщен, и это, конечно, с одной стороны, здорово — расцветают шопы, у Trident Apps доступны буквально сотни приложений, ZM Apps выкатила AI-ассистента по заливам, Banda Apps открыла каталог для всех желающих.
С другой стороны, при таком развитии ИИ это не может быть случайной ошибкой модераторов. Рано или поздно рынок снова схлопнется, и, признаюсь честно, будет интересно наблюдать за этим.

✏️ Интересное чтение на выходные: год борьбы со скраперами, реверс Google Slides, взлом роутера с Amazon

✈ Топ приложений на радарах

🍩 ShieldGuard ~ 3 800 установок/день, 53 дня онлайн. Стиль: #light
🍩 Mega Gems - Fortune Lucky ~ 1 000 установок/день, 36 дней онлайн. Стиль: #aztec
🍩 Joker Jewels ~ 1 300 установок/день, 22 дня онлайн. Стиль: #joker
🍩 Fortune's Gems Ancestral Gold ~ 600 установок/день, 44 дня онлайн. Стиль: #aztec
🍩 Edge Flock ~ 1 200 установок/день, 28 дней онлайн. Стиль: #chicken
🍩 Cluck & Road King ~ 1 800 установок/день, 87 дней онлайн. Стиль: #chicken

🔥 Лучшие приложения сервисов аренды (обозначения)

🔫 T0wer Rush Стиль: #towerrush
🔫 Сhlсkеn R0аd Стиль: #fruits
👨‍💻 Joker's Jewels #joker
🔥 The Fruits Boom #fruits #wheel #sevens
🦆 Bonzberry Blast #bonanza

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Альтернативные сторы начали появляться прямо в Play Market, но Epic Games этого не хватило. Мы уже обсуждали интересные детали реализации механизма альтсторов со стороны разработчика — крутое API, позволяющее получить фактически "выгрузку" всего Play Store, а также механизм установки сторонних приложений без предупреждений со стороны ОС. Однако юристы Epic вернулись в суд, сетуя на то, что Google создаёт "антиконкурентное трение", чтобы усложнить жизнь альтернативным площадкам. Например, они намеренно удлинили воронку установки, не показывая альтернативные сторы сразу в поиске, и требуют для установки два нажатия вместо одного. Поиск тоже работает странно: по запросу "store for apps" выдаются обычные магазины, а поиск Aptoide требует точного вхождения ключа и всё равно требует перехода в специальный раздел.
Судья уже встал на сторону Epic, так что скоро стоит ожидать обновления воронки. Видимо, этого и ждут крупные игроки, такие как Epic Games и Microsoft, не торопясь с запуском своих магазинов.

Для нас в этой истории понятны две вещи: Google как уж на сковородке пытается предотвратить появление свободной экосистемы распространения приложений, и второе — если Epic дожмёт Google, то она у нас появится. Гугл больше не сможет модерировать приложения, правда, всё ещё сможет забанить пакет из-за обязательной верификации разработчиков.

👆 Google в своём блоге сообщает, что Chrome начал автоматически отзывать разрешения на push-уведомления у сайтов, если активность Service Worker'ов или сервера отправки уведомлений покажется компании подозрительной. Алгоритм Google оценивает вовлечённость пользователей, объём рассылки и время, проведённое на сайте, чтобы уведомления от нерелевантных сайтов не беспокоили пользователей. Поскольку PWA также полагаются на Service Worker, данное изменение можно назвать очередным гвоздём в крышку гроба PWA-приложений.
В прошлом году Google добавила в Chrome локальную модель, которая, анализируя содержимое уведомлений, способна обнаруживать спам и предлагать опцию отписки. Тогда недовольные уже высказывались по поводу перекоса в сторону веб-приложений, опирающихся на сервисы Chrome, тогда как устанавливаемые программы высылают свои уведомления относительно легко.

👆 Задумывались, зачем существуют все эти "Дед VPN"? Специалисты Socket разобрали кампанию "Муха VPN" на молекулы: они нашли 737 Chrome-расширений, которые, рекламируясь как средство для обхода блокировок в РФ, на самом деле были просто "заглушками" для продажи премиум-подписки во вполне российском и, что называется, приземлённом сервисе "Муха VPN". Многие расширения действительно работают, предоставляя пользователям SOCKS5-прокси, но всё же основной их задачей является направление пользователя в воронку. Злоумышленники используют всякие продвинутые техники клоакинга и DoH-резолвинга, но одновременно с этим делают смешные ошибки — забывают убрать комментарии нейронки из кода или имя пользователя Windows. Google до сих пор не смогла удалить их все. Вообще, в очередной раз говорю, что пока модерация в Chrome Web Store работает отвратительно — это наш шанс.

✏️ Интересное чтение на выходные: 11 моделей делают сайт, McDonald's составил 515-страничное досье на посетителя, LinkedIn кринжебот 3000

✈ Топ приложений на радарах

🍩 Fortune's Gems Ancestral Gold ~ 1 200 установок/д., 51 д. онлайн. Стиль: #aztec
🍩 Task Drop Day ~ 700 установок/д., 52 д. онлайн. Стиль: #plinko
🍩 Cost Stack Town ~ 500 установок/д., 53 д. онлайн. Стиль: #egypt #wheel
🍩 Hen House Item Dasher ~ 700 установок/д., 44 д. онлайн. Стиль: #joker #wheel #fruits
🍩 Mega Gems - Fortune Lucky ~ 1 500 установок/д., 43 д. онлайн. Стиль: #aztec
🍩 Fortune Maya Gems Match ~ 900 установок/д., 50 д. онлайн. Стиль: #aztec

🔥 Лучшие приложения сервисов аренды (обозначения)

👨‍💻 Joker's Jewels #joker
🔫 T0wer Rush Стиль: #towerrush
🔥 The Fruits Boom #fruits #wheel #sevens
🦆 Jesteri Kesstr #joker #wheel
🦆 Scarab Curse #egypt
🦆 Jester's Circus #joker

🟡 Объём блокировок — Средний, растёт.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

🌐 Маск открыл исходники алгоритма, отправляющего юзеров в теневой бан

Google, скорее всего, никогда не поделится деталями модерации приложений, но у нас появился другой шанс взглянуть на похожий и реально задействованный в X (Twitter) алгоритм, который в том числе наказывает пользователей. Всё дело в том, что ещё в январе Маск, в приступе какого-то непонятного робингудства, пообещал опубликовать исходные коды. Ну и сдержал слово, так что теперь у нас есть обновляемый репозиторий github.com/xai-org/x-algorithm , а 13 августа туда добавили модули, занимающиеся безопасностью.

Внутри:
📌 home-mixer — оркестратор ленты
📌 candidate-pipeline — общий фреймворк конвейера рекомендаций
📌 phoenix — центральная ML-модель
📌 vm-ranker — отвечает за разнообразие рекомендаций
⭐️ visibility-filtering — отдельно решает, какие посты скрыть или убрать под плашку
⭐️ scarecrow, botmaker, botmaker-rules, abuse-enforcement-service — простановка и управление метками безопасности/абуза
⭐️ grox, media-model-proxy, clip, adult-content, pnsfwmedia — понимание текста и медиа: классификация спама, насилия на изображениях и текстах
⭐️ agatha, bdsm, user-cred-v2 — оценка аккаунтов: реакции аудитории, признаки неаутентичного/абьюзивного поведения, PageRank по графу подписок и вовлечения
📌 и другое

На какие же сигналы опираются алгоритмы, у которых в распоряжении только лайки и короткий текст твитта? Вот примерный список:

поведение (15 сложных критериев на основе 512 последних действий аккаунта), устройство, IP и география, профиль, социальный граф, жалобы, блокировки, credibility (оценка репутации), текст, изображения, видео, URL (включая цепочку редиректов), контекст диалога, историю постов, метки безопасности содержимого и отношения с конкретным зрителем

Всего примерно 200 уникальных признаков. И этот алгоритм не получает от пользователя пакет приложения, пачку графики и текстов, не заставляет входить в почту или сканировать код для входа устройством на своей собственной операционной системе — это всего лишь сообщения до 280 символов.

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Apple представила новые правила для разработчиков. Вот что меняется для простого народа:
▪️Комиссия за встроенные покупки 30% → 26% (или меньше за счёт специальных программ)
▪️Альтернативные платежи внутри приложений разрешены во всех случаях с единой комиссией 20% (или 10% для льготников)
▪️Оплаты по внешней ссылке разрешены с единой комиссией 15% (или 10%)
▪️Разрешено совмещать встроенные покупки Apple и альтернативные платежи в одном приложении
▪️Полностью запрещаются внешние ссылки на оплату в категории "Для детей"
Изменения включают новые правила для сторонних магазинов и смягчение условий для суперпопулярных приложений, всё это вступает в силу с 1 октября.

👆 Не спешите открывать ссылки с предложениями о работе: специалисты CTM360 обнаружили более 3 тыс. фишинговых ссылок, имитирующих рекрутёров и процессы найма более чем 50 компаний. Интересно, что главной их целью являются маркетологи, вероятно потому, что Google/Facebook аккаунт часто открывает доступ к рекламным кабинетам, корпоративным соцсетям, почте и клиентским данным.
Техническое исполнение кампании захватывает дух: поддельная страница отрисовывает правдоподобное окно аутентификации в Google прямо внутри себя. Бекенд постоянно поддерживает WebSocket-соединение и переадресует запросы OTP и SMS, а атакующий вводит перехваченные данные одновременно с жертвой на настоящем сервисе.
CTM360 рассказывает об атаке в красочном и подробном отчёте, а я вспоминаю обсуждения подобной техники сокрытия лендов на войсах у Антона и @SeniorPumba . И действительно, будучи отрисованным на canvas, сайт становится фактически недоступным как для обнаружения глупым роботом, так и для копирования находчивыми коллегами. В данном случае, правда, обошлись обычным фронтендом на Svelte.

👆 Дуров подал заявку на регистрацию зоны .gram. Известный борец за справедливость обещает раздать имена в этой зоне всем пользователям Telegram, но деньги пока можно держать при себе: во-первых, за данную зону конкурирует ещё как минимум одна компания; а во-вторых, .gram, скорее всего, не будет открытым TLD. Вместо этого зона будет функционировать как брендовая, находящаяся под контролем Telegram: пользователи не смогут вытрансферить домен к другому регистратору, заменить NS или проставить записи.

👆 Google начала раскатывать механизм задержки при установке из сторонних источников приложений от неверифицированных разработчиков, даже на старых устройствах. C 30 сентября ограничение покроет Бразилию, Индонезию, Сингапур и Таиланд, но изменение затрагивает не все установки, а только те, что произошли из Google Play, HONOR App Market, OPPO App Market, Galaxy Store, Palm Store, vivo V-Appstore и Xiaomi GetApps. APK обещают начать кошмарить только в 2027 году, ну и, разумеется, всё это не затрагивает PWA-приложения.

✏️ Интересное чтение на выходные: ваша вежливость продаётся, PostgreSQL заменяет всё (и даже PlayStation 5), ищем остров по фото

✈ Топ приложений на радарах

🍩 MAX SketchFlow AI ~ 16 000 установок/д., 35 д. онлайн.
🍩 WIN786 game ~ 5 200 установок/д., 21 д. онлайн. Стиль: #light
🍩 OrieXntal ~ 6 400 установок/д., 16 д. онлайн. Стиль: #bison
🍩 1PPPBlake ~ 3 200 установок/д., 32 д. онлайн. Стиль: #pig
🍩 Joker Jewel ~ 1 750 установок/д., 30 д. онлайн. Стиль: #joker
🍩 Mega 777 Fortune ~ 1 700 установок/д., 25 д. онлайн. Стиль: #sevens #fruits

🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 The Fruits Boom #fruits #wheel #sevens
🔥 Mega Win : Rush of Tower #towerrush
🔫 T0wer Rush Стиль: #towerrush
👨‍💻 Joker's Jewels #joker
🦆 Scarab Curse #egypt
🔫 Plunko Pin Стиль: #plinko

🟡 Объём блокировок — Средний, растёт.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

💬 Эпоха OneSignal уходит

В своё время экосистема push-уведомлений OneSignal стала де-факто стандартом для арбитражных приложений. Свою популярность она завоевала благодаря SDK под все платформы, понятной документации и, разумеется, благодаря фактической бесплатности. Удобный интерфейс позволял разобраться с пушами не только программистам, но и баерам, а впоследствии у некоторых команд и вовсе появились "девочки по пушам" (мальчики тоже там были).

Со временем возможности OneSignal пытались так или иначе расширить все: от push․express (кстати, в партнёрстве с Traffic Devils и почившим WebView App) до самих сервисов аренды.

В какой-то момент OneSignal посчитали "триггером" модерации Google, так что рынок стал от него избавляться. Прямая интеграция пушей с продуктами Extendy (есть, например, у ZM и нескольких PWA-конструкторов) стала дополнительным толчком к исходу аренд из OneSignal.

🍩 Однако последний гвоздь в крышку собственного гроба OneSignal забил сам: с 1 октября бесплатные уведомления будут работать только для приложений с месячной аудиторией менее тысячи пользователей.

Взяв на себя смелость, проверим по одному актуальному приложению каждого сервиса аренды:

✅ Banda Apps — Unity Push Notifications
✅ Devils Apps — FCM, push token отправляется по WebSocket-соединению
❌ Liteapp — OneSignal
✅ Onyx Apps — FCM, push token отправляется по REST API
❌ Q3 Market — OneSignal
✅ Snatch Apps — FCM через Firebase Unity SDK
✅ Trident Apps — FCM, push token отправляется по REST API
❌ Wild Wild Apps — OneSignal
✅ ZM Apps — FCM, push token отправляется по UDP

Несмотря на то, что приложения были взяты случайно и всего по одному образцу, даже здесь нашлись сервисы, всё ещё верные OneSignal. Останутся ли они верны настолько, чтобы платить OneSignal по 100$+ за каждое приложение ежемесячно? Хороший вопрос 😅

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Moloco возвращается — во всяком случае так пишут Apps Heroes. Обещают пушечный конверт и пустой аукцион, привязку до 20 неуникальных приложений на один аккаунт (и даже старых), помощь с модерацией. По моей информации, в Moloco действительно удалось найти лазейку, так что имеет смысл проверить ваших поставщиков.

👆 Другой всеми любимый источник, Meta, столкнулся с обвинением в неудалении вредоносной рекламы. Ещё в декабре 2024 года эксперты CERT Polska поделились результатами эксперимента, в котором отправили 122 жалобы на рекламу криптоскама, но Meta удалила только 10 объявлений. Теперь министр цифровизации Польши официально обратился в Еврокомиссию, чтобы взыскать 250 млн евро в качестве штрафа и заставить компанию эффективнее удалять нелегальную рекламу.

👆 Google вводит новые стандарты качества для Android-приложений и игр. Из-за роста цен на оперативную память компания решила защитить систему от зависаний, внедрив пороги "плохого поведения". Начиная с Android 17+ появятся жёсткие ограничения на уровне системы (на Pixel уже есть) — превысившие их приложения и игры будут замедляться или принудительно закрываться.
Для оптимизации разработчикам уже доступны новые инструменты в Play Console: детальные метрики Memory Usage (Anonymous RSS + swap) и Bitmap Memory Usage, оповещения о превышении лимитов, новые отладочные данные в Firebase Crashlytics и дополнения в API ProfilingManager.
С февраля 2027 Google Play будет учитывать данные показатели качества при ранжировании, причём будут учитываться данные начиная с Android 13.

👆 Дмитрий Додяк, руководивший сервисом аренды приложений TD с самого его зарождения, покинул Devils Apps. В войс-чате, больше напоминавшем открытый урок, в самом конце произошёл буквально следующий тарантиновский диалог:

— Дима, и тот же вопрос к тебе. Какие главные задачи стоят перед командой дальше? То бишь что вы хотите улучшить и куда планируете двигаться в ближайшем будущем?
— Да, я тут хочу как раз-таки поделиться в этот момент важными новостями. За всё то время, что я в Devils, — это немало, уже 7 лет прошло, — мы за это время построили довольно-таки сильный продукт. Но в этой сфере, как и в любом другом проекте, есть свои периоды роста, перестройки и моменты, когда приходит время для нового этапа. В последнее время я много думал, куда хочу двигаться, чем хочу заниматься. И принял для себя решение, что я хочу дальше двигаться в развитии по баингу, возможно, по другим ещё продуктам. И вот сейчас, в последнее время, передавал дела в команде новой для того, чтобы они этим занимались. […] Я думаю, что новая команда вас ещё очень сильно удивит. А я в целом оставляю Devils Apps с благодарностью за этот путь. […]
— Так, ну вот такой вот дропчик у нас произошёл, ребят. В целом неожиданно, но спасибо всем гостям за разговор, спасибо ребятам за экспертный взгляд со стороны рынка […]

Не думаю, что Дима действительно совсем покидает нас — скорее, мы свидетели очередной перестановки мест слагаемых. Сам сервис переименовали в DEVILS APPS 2.0. Такой вот дропчик.

👆 AppsFlyer получила кредитную линию на 400 млн долларов от израильского банка Leumi. С июня этого года компания получила более 1 млрд долларов ликвидности от Google, Meta, Unity и Moloco, но значительная часть сделки ушла на выкуп долей у прежних инвесторов. Займ позволит поддержать текущую операционную деятельность.


✈ Топ приложений на радарах

🍩 OrieXntal ~ 6 200 установок/д., 23 д. онлайн. Стиль: #bison #light
🍩 Joker Jewel ~ 2 500 установок/д., 37 д. онлайн. Стиль: #joker
🍩 Mega 777 Fortune ~ 2 200 установок/д., 32 д. онлайн. Стиль: #sevens #fruits
🍩 QroVical ~ 1 800 установок/д., 23 д. онлайн. Стиль: #bison #light
🍩 Fruits Deluxe ~ 1 200 установок/д., 51 д. онлайн. Стиль: #sevens #fruits

🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 Mega Win : Rush of Tower #towerrush
👨‍💻 Chicken Nova Road #chicken
🔥 The Fruits Boom #fruits #wheel #sevens
🔫 T0wer Rush Стиль: #towerrush
🔫 Plunko Pin Стиль: #plinko

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

🕶 Исследователи OX Security обнаружили хитрый способ, которым злоумышленники пользуются, чтобы размещать статику — чему мы можем у них научиться?

Всякий, кто хоть немного интересуется темой, наверное, слышал о ClickFix — поддельных капчах, которые под видом каминных труб и прочей чёрной магии заставляют ничего не подозревающих пользователей самостоятельно распахнуть перед вирусом двери в свою систему. Однако ж все эти странички с красивыми анимациями нужно где-то захостить, и место должно быть доверенным, иначе Safe Browsing заблокирует его достаточно быстро.

На помощь приходит старый добрый npm и его зеркала: все эти unpkg, yarn и npmmirror заблокировать нельзя никак — отвалится половина легитимных JS-библиотек, доставляющихся с них же (хотя многие стали вводить политику белых списков). Этим и воспользовались мошенники, чтобы бесплатно и надёжно размещать фишинговые страницы.

🍩 При разработке приложений тоже часто приходится размещать разную статику, если вы понимаете, о чём я 😏 Но даже если отбросить все эти сальные шуточки, решение суперудобное: версионирование, независимость от инфраструктуры какого-либо одного сервиса, бесплатность по определению — о чём ещё можно мечтать?

Разместить пакет на npm может кто угодно, вот даже мне, например, удалось захостить свой.

▪️ Список разных подходящих зеркал
https://unpkg.com/@traffic-arts/npm-static-demo@1.0.1/index.html
https://esm.sh/@traffic-arts/npm-static-demo@1.0.1/index.html
https://cdn.jsdelivr.net/npm/@traffic-arts/npm-static-demo@1.0.1/index.html (проставляет неверный content-type)

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Во всяких каналах разгоняют тряску по поводу "pwa_betterlinks" — вредоносной кампании, которую NordVPN якобы вскрыла и поэтому теперь PWA-приложениям угрожает опасность. Авторы неиронично удивляются при чём тут NordVPN и обсуждают новость, которая у самой NordVPN на тот момент не вышла для широкого круга читателей, а была издана только в формате пресс-релиза для СМИ — то есть видеть её в оригинале они не могли.

Эти самые СМИ пишут, что специалисты NordVPN обнаружили PWA-конструктор BetterLinks, при помощи которого мошенники имитировали более 400 брендов в рекламе на платформе Meta. Жертв направляли на поддельные страницы Google Play, дальше всё происходило так же, как в любом PWA-сервисе. Сейчас никаких следов BetterLinks не осталось, разве что сообщение о закрытии сервиса и пара снепшотов в веб-архиве. Впрочем, этого достаточно — коллег выдают sapog.online (привет, ребята), а также cloaking и extendy_push в теле ответа. Ну а так вообще и PWA можно посмотреть.

Сенсация здесь только в том, что, на моей памяти, в адрес PWA-конструкторов такие серьёзные и публичные обвинения звучат впервые. Ну, то ли ещё будет.

Коллегам для информации: VPN — это прежде всего инструмент безопасности, а уже потом обход блокировок. Неудивительно, что у NordVPN есть уважаемая и признанная аналитическая команда. В 2022 году Nord Security и Surfshark провели слияние, так что вместе они образуют крупную группу на рынке кибербезопасности.

👆 Исследователи SOCRadar обнаружили целый платный курс хакинга WordPress. Умелец собрал вокруг себя около трёхсот учеников, при этом достоверно известно, что как минимум одному удалось завладеть более чем двумя миллионами учётных записей администраторов WP. Ботнет управлялся через Telegram и использовал GitHub для доставки полезной нагрузки. Посмотреть на шелл можно здесь, ну а всю воронку продаж "академия" уже зачистила.

✏️ Интересное чтение на выходные: ИИ ловит птиц, поиск доменного имени за 0 мс


✈ Топ приложений на радарах

🍩 QroVical ~ 2 600 установок/д., 49 д. онлайн. Стиль: #bison #light
🍩 OrieXntal ~ 6 000 установок/д., 30 д. онлайн. Стиль: #bison #light
🍩 SacRxred ~ 3 200 установок/д., 30 д. онлайн. Стиль: #bison #light
🍩 Golden 777 Trophy ~ 2 000 установок/д., 36 д. онлайн. Стиль: #sevens #light
🍩 Joker Jewel ~ 2 600 установок/д., 44 д. онлайн. Стиль: #joker
🍩 Fortune’s Sacred Beak Gems ~ 1 700 установок/д., 42 д. онлайн. Стиль: #aztec #light

🔥 Лучшие приложения сервисов аренды (обозначения)

👨‍💻 Chicken Nova Road Стиль: #chicken
🔫 T0wer Rush Стиль: #towerrush
🔥 The Fruits Boom Стиль: #fruits #wheel #sevens
👨‍💻 Joker's Jewels Стиль: #joker
🔱 Chicken SprintX Стиль: #chicken
🔫 Plunko Pin Стиль: #plinko

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды