🔥 Сервис аренды выходит в Open Source

Ну что, реальный инцидент ИБ прямо на кончиках ваших пальцев. Для кого-то из подписчиков "ваших" — буквально.

Со мной связался подписчик, пожелавший остаться инкогнито, и сообщил об удивительном явлении: один из сервисов аренды открыто публикует код своих Android и iOS приложений на GitHub. Думаю, лавочка быстро закроется, поэтому давайте посмотрим, что интересного нам там приготовили. И посмотреть есть на что.

🍩 Общая схема функционирования всех приложений из утечки плюс-минус такова:
▪️ Все чувствительные строки закодированы при помощи XOR. Ключ лежит рядом, эти строки используются для формирования запроса на сервер
▪️ Сервер отвечает JSON-структурой, которая содержит ссылку для загрузки в WebView
▪️ Приложение делает запрос на api.ipify.org, чтобы получить IP-адрес пользователя
▪️ Скрытый WKWebView загружает полученный ранее URL. При помощи инъекции JS приложение извлекает User-Agent, cloack_url, atr_service
▪️ Далее приложение при помощи URLSession делает два запроса: на cloack_url и на atr_service, передавая туда различную собранную информацию и получая оттуда final_url
▪️ Если все предыдущие шаги прошли успешно, приложение сохраняет final_url в кеш и инициализирует OneSignal. Если что-то пошло не так, приложение кеширует флаг провала и больше не будет выполнять обращений к сети.
▪️ В конце концов открывается полноэкранный WKWebView с final_url. При последующих запусках используется ранее закешированный адрес.

Это очень похоже на типичный паттерн работы приложения сервиса аренды, хоть и излишне запутанный.


🍩 Ещё моё внимание привлёк проект инструмента конкурентной разведки:
▪️ Оператор подписан на ботов с уведомлениями о статусе приложений конкурентов: Banda, WWA, Trident, TD. Время от времени оператор запускает сбор сообщений ботов за последние 60 дней
▪️ Программа при помощи регулярных выражений извлекает bundle id и другую информацию, отправляет в свой канал
▪️ Оттуда данные отправляются в Google Sheet: бот-источник, название, bundle id, дата релиза, дата бана, время жизни, статус, URL, ограничения по гео, разрешённые источники трафика, поддержка OneLink, поддержка макросов, на какое приложение был перенаправлен трафик после бана. Особенно пристально следят за Banda

👆 Ознакомиться с материалами в публичном доступе можно здесь (архив раз, два).

Чья именно это утечка, мне непонятно — там признаки нескольких организаций сразу. Да и, думаю, грешат таким в том или ином виде многие. В эпоху очень умных компьютеров и не очень эээ внимательных людей последние пока побеждают.

P.S.: Если будете изучать код, то знайте, что как учебное пособие использовать его не стоит, лучше гляньте современный UDP-based подход ZM Apps — интересная идея, может, не самая удачная с точки зрения скрытности, но способная показать вам, как глубока кроличья нора на самом деле.

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю (1/2)

👆 В Google Play спешно сооружают отдельную экосистему для AI-приложений: созданный в AI Studio слоп можно будет устанавливать без регистрации аккаунта разработчика и без прохождения идентификации. Приложения будут доступны в "Личной библиотеке" только создателю, но компания обещает, что вскоре разработками можно будет делиться с друзьями. Для слопа предусмотрен и выход в общий магазин: для этого потребуется обычный аккаунт разработчика, а поделка должна пройти стандартную модерацию.
Кажущаяся на первый взгляд позитивной новость на самом деле может быть считана по-разному. Сейчас складывается впечатление, что корпорация добра готовит почву для прекращения поддержки "индивидуальных" аккаунтов Play Console в том виде, в котором мы их знаем: студенты, энтузиасты и хобби-разработчики будут вынуждены работать через AI-инструменты вроде AI Studio или Antigravity IDE без аккаунта разработчика как такового и без полного контроля над сборками, что кратно разгрузит основную команду модераторов-людей и позволит ещё сильнее усложнить регистрацию Play Console. В эту картину хорошо вписывается недавно опубликованный отчёт о космическом числе приложений на модерации и новая прямая интеграция Android Studio с Play Console: теперь публиковать в тестовый трек можно прямо из интерфейса IDE.

Другое важное обновление: ОС Android начала автоматически привязывать номера телефонов установленных SIM-карт ко всем Google-аккаунтам на устройстве. Хотя информация об этом в документации появилась ещё в прошлом году, вероятно, реальная практика применения началась недавно. Кажется, недаром фармы стали переходить на работу с физическими устройствами. Кстати, функцию можно отключить в настройках Google на устройстве.

👆 Apple обновила Developer Program License Agreement. Из важного, в пункте 3.2(e)(3) появился прямой запрет на post-review modifications для обхода модерации. В App Review Guidelines добавили связанный пункт 2.5.19 (перенесли из 2.3.1(a) и поменяли формулировки).

👆 Специалисты Citizen Lab раскрыли схему AdFection — не просто очередную рекламу вредоносного ПО, а целую связанную с израильскими производителями шпионского ПО Candiru и Bindecy операцию, позволявшую через рекламу реализовывать так называемые 0-click атаки (то есть не требующие взаимодействия для заражения), и при этом очень точно выбирать жертв по рекламным идентификаторам и IP. Атаке подверглись по меньшей мере 45 устройств сотрудников Al Jazeera, но сами объявления (не случайно) демонстрировались миллионам устройств по всему миру, включая сети НАТО, оборонных подрядчиков и других.
Можно было бы пожать плечами и сказать, что у богатых свои причуды, если бы стек технологий не был так близок к нашей с вами реальности. Технический отчёт публикует фрагменты кода и подробности фингерпринтинга, а в целом система работала по принципу обычного RTB-аукциона. Такого, например, в котором участвует Moloco Ads DSP. Рекламная платформа, на которой всё работало, не принадлежала разведке, и, вероятно, поэтому в процессе реализации были допущены достаточно наивные ошибки собственной кибербезопасности. Citizen Lab удалось воссоздать панель администратора, обнаружить журналы авторизации пользователей и логи аукциона. Какой был потужный ответ партнёров, я думаю, вы понимаете: Google, IAB Europe и Comcast просто прекратили сотрудничество, и всё.

Мой неожиданный практический вывод для рынка аренды такой: тот сервис, который перейдёт от нахваливания "своей MMP" к созданию "своей RTB-платформы" сможет не только выгоднейшим образом скупать трафик, но и обойтись вообще без MMP, реально обеспечив при этом околонулевые потери. Хватит ли у холдингов кишки?

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю (2/2)

👆 Apliteni (Keitaro) опять вляпалась в расследование. Наверное, только ленивый не написал об изменении пользовательского соглашения, и что передаются названия кампаний, и что блокировки аккаунтов будут без возврата денег, но тут всплыло ещё одно важное обстоятельство: специалисты Infoblox раскрыли многолетнюю связь трекера с мошенническими кампаниями Help TDS, Hotejka, ROI777. Всего обнаружено более 20 тыс. Cloudflare Pages, ежедневно добавлялось около 300 штук. Смысл скама заключался в перенаправлении пользователей на поддельные страницы технической поддержки с целью заставить жертв позвонить в мошеннические колл-центры, и ключевое место в этой цепочке занимал Keitaro, послуживший основой для собственного решения "Help TDS".

👆 Атака на цепочку поставок поразила аппаратные кошельки Ledger — ориентировочные потери составляют $100 млн. Преступники встраивали в устройства перехватчик, считывающий seed-фразу и отправляющий её при помощи встроенной eSIM и LTE-модуля. Обнаруженные закладки показывают прогресс в качестве исполнения и широкую географию распространения, также обнаружено, что проблема встречается не только у Ledger.
Одновременно с этим у Марии Дорвей увели крипту прямо из её кошельков на iPhone. И хотя цпарип, на мой взгляд, поспешил связывать кражу с недавно раскрытыми эксплойт-китами Coruna/DarkSword, но сейчас появился другой хороший аргумент в пользу похожего объяснения: впервые за долгие годы был продемонстрирован отвязанный jailbreak для современной iOS 27.0.1 на iPhone 18 Pro.

👆 Cloudflare проверила так сильно рекламируемое падение трафика "трёхрублёвых ботов", связываемое с выходом из строя дата-центров "Яндекса". В общем, это неправда: объём трафика действительно значительно упал, но принадлежит он не рупору пропаганды, а обычным поисковым паукам. Вредоносный же трафик, по их словам, просто переехал на другие мощности, но компания, конечно, не способна выделить тех самых кремлеботов — да и было бы странно, если бы они использовали адреса дата-центров.
Словно в ответ на кинетический удар по Яндексу, неизвестные подожгли сперва наземную станцию Starlink в Польше, а затем и в Болгарии.

👆 Jev получила мультимодальность в бета-версии. Теперь модель может не только принимать на вход изображения вместо текста, но и обнаруживать объекты на них, а также анализировать картинки визуально. Ждём появления ещё большего числа спай-тулов с поддержкой классификации креативов 😀️️️️️️

✏️ Интересное чтение на выходные: GTA 2 перенесли в браузер (да и GTA 5 тоже — спасибо, Opus 5.5), сотрудник OpenAI посоветовался с моделью и установил в офисе жучок, CERT-FR рапортует о взломе холодильников в примерно 700 магазинах (хакеры испортили продукты на миллионы евро)


✈ Топ приложений на радарах

🍩 Joker Jewel ~ 4 800 уст./д., 86 д. онлайн.
🍩 Crystal Beam Wheel ~ 4 000 уст./д., 37 д. онлайн.
🍩 Energy Coins ~ 700 уст./д., 79 д. онлайн.
🍩 Jungle Wheel ~ 6 300 уст./д., 44 д. онлайн.
🍩 Sugar Sweep Home Chores ~ 3 800 уст./д., 37 д. онлайн.
🍩 Masquerade Jester ~ 5 300 уст./д., 44 д. онлайн.

🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 Tower Dash Стиль: #towerrush
😈 Ice Fishing Стиль: #fish
😈 Farmyard Sprint Стиль: #chicken
🔫 Jоkеr’s Jеwеls Стиль: #joker
🦆 Desert Expedition Стиль: #egypt
🔫 Chiсken Rоаd Стиль: #chicken


🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

🟪Meta плохо который месяц, а high season в самом разгаре — не жди милости от Цукера, заходи в стабильный in-app с Onmyads

In-app сегодня = никаких штормов, банов, борьбы с модерацией. Это сорсы с хорошим качеством, высоким LTV, реальным масштабированием и возможностью влиять на качество ручным трудом байера, как в старые добрые.

В Onmyads ты получаешь не только кабинеты в аренду, но и обучение, приватную стату (бенчи, прилы, гео), закрытые Q&A-сессии с бест практис.

↪️ Заявка на Unity с вайтлистом и агентские Kayzen, Bidease + консультация по in-app - по заявке (или в лс @art_onmyads, @d_onmyads)

Только за сентябрь ребята:

➡️Дали интервью Денисенко по ситуации в in-app сейчас и предикт по его будущему: https://t.me/onmyads/355

*Внутри: с какими сетями работать арбитражнику? Где реальные объем и качество, а где — хайп? Всего 2.3% от всех мировых рекламных баджей в in-app в 2026 и свободный аукцион.

➡️Выпустили Ultimate Unity Ads Guide: https://t.me/onmyads/352

*Внутри: как выглядит идеальный сетап первых кампаний? Когда использовать типы кампаний ROAS, а когда Payer? Правильный скейл в разных регионах и др.?

➡️Провели открытый вебинар по Unity: https://t.me/onmyads/330

*Внутри: логика аукциона, сильные форматы крео, особенности разных типов кабинетов, важные метрики для оценки местного трафа, частые ошибки и др.

➡️Поделились статой по топ-прилам во всех регионах: https://t.me/onmyads/353

*Да, в топе снова курица😐

С Onmyads ты не просто зайдешь в очередной тест сорса. Ребята — пионеры мобильного трафа, входят в ТОП-3 по СНГ и Восточной Европе. Вся команда — экс-байеры, которые открыто делятся экспертизой, учат заливу и ведут классный канал про мобайл: https://t.me/onmyads

↪️ Готов пробовать? Оставляй заявку на консультацию — в бот или в лс @art_onmyads, @d_onmyads