🕶 Исследователи OX Security обнаружили хитрый способ, которым злоумышленники пользуются, чтобы размещать статику — чему мы можем у них научиться?

Всякий, кто хоть немного интересуется темой, наверное, слышал о ClickFix — поддельных капчах, которые под видом каминных труб и прочей чёрной магии заставляют ничего не подозревающих пользователей самостоятельно распахнуть перед вирусом двери в свою систему. Однако ж все эти странички с красивыми анимациями нужно где-то захостить, и место должно быть доверенным, иначе Safe Browsing заблокирует его достаточно быстро.

На помощь приходит старый добрый npm и его зеркала: все эти unpkg, yarn и npmmirror заблокировать нельзя никак — отвалится половина легитимных JS-библиотек, доставляющихся с них же (хотя многие стали вводить политику белых списков). Этим и воспользовались мошенники, чтобы бесплатно и надёжно размещать фишинговые страницы.

🍩 При разработке приложений тоже часто приходится размещать разную статику, если вы понимаете, о чём я 😏 Но даже если отбросить все эти сальные шуточки, решение суперудобное: версионирование, независимость от инфраструктуры какого-либо одного сервиса, бесплатность по определению — о чём ещё можно мечтать?

Разместить пакет на npm может кто угодно, вот даже мне, например, удалось захостить свой.

▪️ Список разных подходящих зеркал
https://unpkg.com/@traffic-arts/npm-static-demo@1.0.1/index.html
https://esm.sh/@traffic-arts/npm-static-demo@1.0.1/index.html
https://cdn.jsdelivr.net/npm/@traffic-arts/npm-static-demo@1.0.1/index.html (проставляет неверный content-type)

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Во всяких каналах разгоняют тряску по поводу "pwa_betterlinks" — вредоносной кампании, которую NordVPN якобы вскрыла и поэтому теперь PWA-приложениям угрожает опасность. Авторы неиронично удивляются при чём тут NordVPN и обсуждают новость, которая у самой NordVPN на тот момент не вышла для широкого круга читателей, а была издана только в формате пресс-релиза для СМИ — то есть видеть её в оригинале они не могли.

Эти самые СМИ пишут, что специалисты NordVPN обнаружили PWA-конструктор BetterLinks, при помощи которого мошенники имитировали более 400 брендов в рекламе на платформе Meta. Жертв направляли на поддельные страницы Google Play, дальше всё происходило так же, как в любом PWA-сервисе. Сейчас никаких следов BetterLinks не осталось, разве что сообщение о закрытии сервиса и пара снепшотов в веб-архиве. Впрочем, этого достаточно — коллег выдают sapog.online (привет, ребята), а также cloaking и extendy_push в теле ответа. Ну а так вообще и PWA можно посмотреть.

Сенсация здесь только в том, что, на моей памяти, в адрес PWA-конструкторов такие серьёзные и публичные обвинения звучат впервые. Ну, то ли ещё будет.

Коллегам для информации: VPN — это прежде всего инструмент безопасности, а уже потом обход блокировок. Неудивительно, что у NordVPN есть уважаемая и признанная аналитическая команда. В 2022 году Nord Security и Surfshark провели слияние, так что вместе они образуют крупную группу на рынке кибербезопасности.

👆 Исследователи SOCRadar обнаружили целый платный курс хакинга WordPress. Умелец собрал вокруг себя около трёхсот учеников, при этом достоверно известно, что как минимум одному удалось завладеть более чем двумя миллионами учётных записей администраторов WP. Ботнет управлялся через Telegram и использовал GitHub для доставки полезной нагрузки. Посмотреть на шелл можно здесь, ну а всю воронку продаж "академия" уже зачистила.

✏️ Интересное чтение на выходные: ИИ ловит птиц, поиск доменного имени за 0 мс


✈ Топ приложений на радарах

🍩 QroVical ~ 2 600 установок/д., 49 д. онлайн. Стиль: #bison #light
🍩 OrieXntal ~ 6 000 установок/д., 30 д. онлайн. Стиль: #bison #light
🍩 SacRxred ~ 3 200 установок/д., 30 д. онлайн. Стиль: #bison #light
🍩 Golden 777 Trophy ~ 2 000 установок/д., 36 д. онлайн. Стиль: #sevens #light
🍩 Joker Jewel ~ 2 600 установок/д., 44 д. онлайн. Стиль: #joker
🍩 Fortune’s Sacred Beak Gems ~ 1 700 установок/д., 42 д. онлайн. Стиль: #aztec #light

🔥 Лучшие приложения сервисов аренды (обозначения)

👨‍💻 Chicken Nova Road Стиль: #chicken
🔫 T0wer Rush Стиль: #towerrush
🔥 The Fruits Boom Стиль: #fruits #wheel #sevens
👨‍💻 Joker's Jewels Стиль: #joker
🔱 Chicken SprintX Стиль: #chicken
🔫 Plunko Pin Стиль: #plinko

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

DEVILS APPS 2.0: ЧТО ИЗМЕНИЛОСЬ В СЕРВИСЕ ДЛЯ БАЙЕРОВ? 📲

📌Главные обновления:

⚪Новый подход к клоаке: многоуровневая защита приложений, которая помогла увеличить срок их жизни на 80%.

⚪️Мониторинг аномалий трафика: наши специалисты отслеживают просадки и помогают быстрее выявлять проблемы.

⚪️Собственная атрибуция: больше контроля над передачей данных и меньше потерь трафика.

⚪️Собственный подход к работе с Unity: помогает получать больше с вашего трафика и зарабатывать больше на том же объёме.

⚪️Макросы: передача необходимых данных о рекламных кампаниях в трекер для более детального анализа трафика.

⚪️AI App Matcher в боте: анализирует объёмы, i2r, i2d и r2d и подбирает приложение под твой трафик.

⚪️All Traffic Source: любой источник трафика под ваши задачи с возможностью самостоятельно выбирать атрибуцию.

⚪️Самая быстрая загрузка приложений на рынке: быстрое открытие приложения помогает минимизировать потери пользователей на старте.

⚪️Приватные приложения: отдельная линейка для партнёров, которым важны эксклюзивность, стабильность и продолжительность работы.

⚪️Кастомизация пушей: возможность настроить собственные пуши под свой трафик или дополнительно пропушить его.

⚪️80+ приложений под разные источники и тематики.

⚪️Бесплатный сервис: приложения и основные инструменты остаются бесплатными для партнёров.

➡️ Хочешь протестировать обновление? Пиши менеджеру @td_soft

Telegram | Instagram

👁 Не нажимаете на подозрительные ссылки — их нажмут за вас, для этого даже не нужно разблокировать экран

Месяц назад на ежегодной конференции USENIX WOOT исследователи представили отчёт о, наверное, самой интересной и наиболее старой дисциплине хакинга — атаках на телефонную инфраструктуру. Конечно, со времён примитивных коммутаторов и телефонных будок многое поменялось, но тем интереснее стал ландшафт угроз.

Ни для кого не секрет, что оператор связи владеет большим объёмом информации об абоненте безо всякого хакинга: к какой соте подключён абонент, куда он двигается, какое устройство использует, кому звонит, какие SMS получает и многое другое. Даже купив совершенно новую сим-карту и вставив её в чужой телефон, будьте уверены: вас всё равно найдут, просто по голосу.

Новое исследование показывает вещи под совершенно другим углом: оказывается, SIM-карта может читать произвольные файлы, переводить модем в менее защищённый режим 2G или полностью отключать устройства и промышленные модемы. В отдельном исследовании была обнаружена CVE-2025-48618, которая на устройствах с Android 13–16 позволяла открывать произвольный адрес в браузере даже при заблокированном экране. eSIM, кстати, проблему не решает.

Конечно, доступ к файлам и прочие чудеса случаются не на всех устройствах. Специалисты воспроизвели разные уязвимости на устройствах OPPO, Google Pixel 6 и 8, IoT-модемах. На зарядной станции AUTEL Maxi US AC W12-L-4G удалось добиться выполнения произвольного кода, а на модеме Quectel EG25-G чтения и эксфильтрации произвольных файлов устройства.

Обнаружение и эксплуатация уязвимостей подобного рода сильно ограничиваются наличием оборудования, технической информации, необходимых криптографических ключей и контроля над SIM-картами жертв. С этой точки зрения в наилучшей позиции находятся сами операторы связи и государственные группы. В виртуальной же машине весь стек мобильной связи удаётся воспроизвести лишь частично и в лучшем случае для Android, а для исследования современных iPhone безальтернативны физические устройства с jailbreak.

Однако ж корпорация добра признала очень широко доступную возможность запуска браузера и в декабре прошлого года выпустила патч, так что снова самостоятельно решать, открывать ли подозрительные ссылки, обладатели Android-устройств могут только если их девайс на него обновился 😏

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

🔥 День рождения канала! Да, три года назад, 11 сентября, был запущен этот проект. Спасибо, друзья, что читаете, подписываетесь, рассказываете друзьям — без вас бы ничего этого не было 🔥

Давайте по традиции вспомним, что хорошего было сделано за последнее время:
▪️ Запустили каталог сервисов аренды
▪️ Делали Playable Ads на коленке
▪️ Смотрели алгоритм рекомендательной ленты X (Twitter)
▪️ Изучали, кто чем пользуется для пушей
▪️ Размещали статику на npm

Уже три года каждую пятницу выходит постоянная рубрика с обзорами трендов за неделю, и я не вижу ни единой причины пропускать её сегодня. Вот, держите:

⚡ Обзор трендов за неделю

👆 Apple хочет увеличить выручку от App Store. В магазине приложений назревают изменения хотя бы потому, что прежний руководитель Фил Шиллер, курировавший App Store около 11 лет, передаёт его под руководство Эдди Кью. Новое начальство склонно агрессивнее монетизировать платформу, чему прежде противостоял Шиллер.
Бывший глава App Review Филлип Шумейкер характеризует подход Шиллера к разработчикам как модель "заявитель — принимающий решение": разработчики были "просителями", которым Apple устанавливала жёсткие правила, часто непрозрачные. В качестве примеров приводятся запреты на приложения, связанные с каннабисом (даже в штатах, где он легален), и споры о том, являются ли насекомые животными для применения правил о жестоком обращении.
Ожидается, что новая стратегия будет нацелена на "выжимание дополнительной регулярной выручки" из платформы. Что именно скрывается за этой формулировкой — пока не очень понятно, кроме стремления сделать правила прозрачными, автоматизировать ручные проверки приложений и улучшить процесс апелляций.
В моей голове рост выручки вполне соотносится со свободой для гемблинга, брендов и прочих асошников — такой, какую нам в той или иной мере дал Google. Хочется верить, что это всё хорошая новость.

👆 Google выпустила заплатки сразу для 8 критических уязвимостей типа RCE (удалённое выполнение кода) в системных компонентах Android 14-17. Для их эксплуатации не требуются ни привилегии в системе, ни взаимодействие пользователя. Что из этого выходит, можно почитать в предыдущем посте о выполнении произвольного кода через SIM-карту.
Вообще, такое число обнаруженных проблем не означает, что Android насквозь дыряв. Просто с появлением AI-инструментов стало больше возможностей для обнаружения уязвимостей, что видно как по Android, так и по Chrome.

👆 В сообществе MIII выпустили статью "Как Google оценивает качество приложения" — сжатый пересказ App Quality Framework, который влияет на ранжирование приложений в поисковой выдаче и их шансы на фичеринг и, возможно, играет роль при модерации вообще. Не менее полезным оказался тред комментариев под этим постом в чате: похоже, что подписчики уже давно в курсе внутренней кухни модерации Google Play, так что даже немного завидно 😏

А ещё на канале у Кости Lukos'а вышла практическая публикация о том, как можно под видом защиты авторских прав попытаться снести чужое приложение. Кстати, примерно то же самое делают и с Instagram-аккаунтами.

И ещё одна новость: появилась брошюра по интеграции Google Ads Web и AppsFlyer. Google сделала из этого процесса настоящее минное поле, так что объяснения лишними точно не будут.

✈ Топ приложений на радарах

🍩 OK BluePlayer ~ 5 200 установок/д., 15 д. онлайн.
🍩 QroVical ~ 3 200 установок/д., 56 д. онлайн. Стиль: #bison #light
🍩 OrieXntal ~ 5 800 установок/д., 37 д. онлайн. Стиль: #bison #light
🍩 SacRxred ~ 3 500 установок/д., 37 д. онлайн. Стиль: #bison #light
🍩 Joker Jewel ~ 2 800 установок/д., 51 д. онлайн. Стиль: #joker
🍩 Cost Stack Town ~ 1 200 установок/д., 81 д. онлайн. Стиль: #egypt #wheel


🔥 Лучшие приложения сервисов аренды (обозначения)

👨‍💻 Chicken Nova Road #chicken
🦆 Jesteri Kesstr #joker #wheel
🔥 The Fruits Boom #fruits #wheel #sevens
🔫 T0wer Rush Стиль: #towerrush
🦆 Rush of Chicks #chicken
🔥 Mega Win : Rush of Tower #towerrush

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

💲 Оплата доменов, хостингов и прочего добра криптой — везде

Иногда мне в личку стучатся рекламодатели с разной степени спамности предложениями — я думаю, благодаря новым технологиям от Евгения Юрьевича, уже все успели ощутить нечто подобное на себе. Я к этому отношусь спокойно и, если сообщение прислал не совсем бот, то отвечаю обычно что-то в духе "предложите моим подписчикам что-то реально полезное — и я расскажу о вас хоть бесплатно". Сегодня такой случай: ко мне постучались ребята из Multicards и предложили протестить их решение в реальном, волнующем трудящихся кейсе — в оплате разных сервисов с сохранением анонимности.

Обычно карты выпускают под трафик, из-за чего в такого рода бизнесе всё строится вокруг больших спендов, высоких минимальных пополнений и комиссий. Однако в действительности карточки могут пригождаться не только для залива:
▪️ Доменные регистраторы всё чаще закручивают гайки, чем заставляют разносить домены по аккаунтам
▪️ Настоящий bulletproof-хостинг, особенно стабильный, стоит хороших денег, а стандартный VPS отлетает, даже если хостер на вашей стороне — опять же, разносим по аккаунтам
▪️ Имеющиеся карты по какой-то причине не принимает Stripe (ну и заодно все остальные), или же вы пытаетесь оптимизировать стоимость подписки (региональные цены, слышали?)
▪️ Вы банально фармите аккаунты Google Play или App Store и вам нужно с одной карты платить только раз

Словом, вопросы о платёжных инструментах в ежедневной работе вполне логичны и актуальны. У имеющихся на рынке решений есть два недостатка: во-первых, "грязные" BINы, которые приличные процессинги видеть не хотят; во-вторых, комиссии и условия пополнения.

🍩 Для проверки первого вопроса ребята из Multicards выпустили мне европейскую Визу с поддержкой 3DS, в моих реальных тестах оплаты не возникло никаких проблем с:
▪️ Spaceship
▪️ Google Play Developer Console
▪️ DigitalOcean
▪️ Hostinger
Apple, к сожалению, протестировать было негде. Тестить остальное в целом нет смысла, потому что в списке все, кроме Google Play, используют Stripe; его же используют и многие другие сервисы, например ChatGPT.

🍩 Пополнение, кстати, было моими деньгами. Виктор с канала Цифрові Тіні - Farm & Mobile, который в какой-то момент помогал мне с тестами, целый час сомневался, но всё прошло гладко 😅
Комиссии получились такие:
▪️ 200 USDT минимального пополнения превратились в 198 USD (комиссия первого пополнения 2 USDT, последующие — только 3%),
▪️ Первые 5 карт выпускают бесплатно, далее — 2 USD/шт
▪️ Комиссия 2% взимается за каждый платёж — при оплате Play Console это 0.5 USD. DO выполнил транзакцию для авторизации и затем возврат, но комиссия в таких случаях не возвращается. При оплате картой в другой стране комиссия возрастает до 5%, но все мои покупки прошли без неё — возможно, Stripe подстроился под карту сам.
Все мои покупочки составили 35.13 USD, а фактические комиссии — 2 USD за пополнение и ещё 1.26 USD за платежи и авторизации, итого 9.28%. Остаток, кстати, вернули без проблем.

✅ Важное отличие от обычной карты: здесь нельзя марать BIN. Чарджбеки, неуспешные платежи — всё это негативно сказывается на репутации, за которой сервис следит автоматически и применяет санкции.

🍩 Можно ли пользоваться для мелких трат, например закинуть минимальные 200 USDT и тратить их пару месяцев? Понятно, что толку для оператора в этом немного, поэтому будут ли в Multicards рады таким клиентам — хороший вопрос, и он прозвучал несколько раз. В конце концов мы договорились о том, что, регистрируясь по моей ссылке, вы сможете обойти этот момент.

Хоть я и не занимаюсь платёжками и не пользуюсь ими ежедневно, Multicards в данном случае — компания с адекватными менеджерами, которые вникли в нашу проблему и предложили решение. Если вы хотите сравнить их с остальными, здесь и здесь есть разбор множества сервисов, а чтобы зарегистрироваться в Multicards, используйте мою ссылку, и менеджер будет сразу в курсе, какие карты и для чего вам нужны.

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Разработчики жалуются на увеличение сроков ревью в Google Play. Это может показаться обычным нытьём, если бы не внезапно набравшая популярность ветка комментариев: разработчик Signal для Android ответил, что по его наблюдениям существует две очереди — быстрая автоматическая (4 часа) и длинная ручная (5 дней). Разработчик AnkiDroid, существующего в GP около 17 лет, говорит, что даже их приложение попадает в длинные очереди, а другой комментатор рассказывает о своём 16-летнем приложении — оно проходит модерацию за 30-60 минут. Ещё один пользователь считает, что существует не два, а целых три типа модерации: автоматическая, ручная поверхностная и ручная усиленная. Многие сходятся в одном: ИИ-бум заметно увеличил нагрузку на команды магазинов приложений Apple и Google.
Существование полностью автоматической проверки, я думаю, для моих подписчиков не станет новостью, в конце концов большинство на неё и уповают 😅

Другое обновление от Google коснулось поиска: из выдачи пропадают прямые ссылки, вместо них теперь используется прокладка вида google.com/goto?url=.... В принципе, Google уже многие годы пытается прикрыть прямые URL, но данное обновление удаляет их совсем. URL всё ещё присутствуют в коде страницы для некоторых типов поисковых результатов, но расшифровать их из токена возможным уже не представляется. Смысл новшества, по словам Google, в том, чтобы защитить поисковую выдачу от автоматической обработки — и действительно, фаундер легитимного SEO-тула Nozzle уже сообщил, что им приходится бороться с этим явлением.
Иронично, что компания, сколотившая состояние на индексации чужих веб-сайтов, пытается всеми силами воспрепятствовать индексации собственного.

Ещё пара подарков от корпорации добра разработчикам Android: во-первых, компания обновила методологию оценки ИИ-моделей для Android-разработки, сделав фокус на "масштабных и сложных задачах" — Gemini как обычно тянется где-то позади, а победителем назвали GPT-6 Astra, с небольшим отрывом от Fable 5.1. Во-вторых, выпустила библиотеки AndroidX Security State, которые я в двух словах могу охарактеризовать так: много новых сигналов для фингерпринтинга и клоакинга 😊 Тут вам и подробности о наборе патчей Android, и информация о ядре, и даже аудит на уровне конкретных CVE. Я действительно вижу в этом очень перспективное направление для нашей работы и не представляю, как они сами собираются защищаться.

Наконец, ещё немного о подарках: Google заключила мировое соглашение с группой британских Android-разработчиков. Последние утверждали, что компания мешает распространению приложений вне Google Play, чтобы затем облагать покупки несправедливой комиссией. Не дожидаясь рассмотрения иска по существу, корпорация согласилась выплатить £260 млн. В результате, компания так и не признала вину и избежала важного правового прецедента. Нужно добавить, что в Британии идёт разбирательство по аналогичному иску, но если среди разработчиков было 2200 людей и компаний, то в продолжающемся деле заявлено примерно 19.5 млн британских пользователей Android.

✏️ Интересное чтение на выходные: хакеры стащили знаменитую американскую дорожную камеру Flock и выпотрошили её, та самая палка в фундаменте интернета (и при чём тут PHP), Astra делает реверс реплеев Halo


✈ Топ приложений на радарах

🍩 1xbet ~ 4 000 установок/д., 44 д. онлайн.
🍩 SacRxred ~ 3 800 установок/д., 44 д. онлайн. Стиль: #bison #light
🍩 OrieXntal ~ 5 600 установок/д., 44 д. онлайн. Стиль: #bison #light
🍩 Joker Jewel ~ 3 000 установок/д., 58 д. онлайн. Стиль: #joker
🍩 Fortune's Jungle Match Gems ~ 1 500 установок/д., 49 д. онлайн. Стиль: #aztec #light
🍩 Golden 777 Trophy ~ 2 000 установок/д., 50 д. онлайн. Стиль: #sevens #light

🔥 Лучшие приложения сервисов аренды (обозначения)

👨‍💻 Chicken Nova Road Стиль: #chicken
🦆 Jesteri Kesstr Стиль: #joker #wheel
👨‍💻 Tower Rush Стиль: #towerrush
🦆 Rush of Chicks Стиль: #chicken
👨‍💻 Chicken Road 2 Стиль: #chicken
🔥 Fruit Fortune Стиль: #sevens #fruits

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Интересную технику обхода модерации обнаружили специалисты Socket: на проверку отправлялся только "скелет" вредоносного расширения для Firefox — фактически универсальный интерпретатор. После установки плагин самостоятельно открывал страницу, доставлявшую боевую нагрузку в хранилище расширения. Скрипт инжектился в страницы Google-аккаунтов и крал токены OAuth из cookies.
Кажется, злоумышленники эксплуатируют вероятное отсутствие динамического анализа у магазина расширений Mozilla. Нечто подобное вполне можно провернуть и на наших родных платформах, но Google и Apple давно применяют DAST для проверки приложений.

Впрочем, динамический анализ не помог Google в борьбе с malware. Модерация упустила схему, в точности повторяющую конструкцию выше — об этом в подробнейшем отчёте рассказали в CERT Polska. Специалисты обнаружили сеть из 17 приложений и 852 реклам на платформе Meta, сообщающих о необходимости обновить приложение для чтения PDF. Сами приложения маскировались под мессенджеры и утилиты, так что часть из них вполне законно получала разрешение на доступ к SMS-функциям. Закрепившись в системе, приложения при помощи сложной четырёхступенчатой цепочки запускали загруженный извне вредоносный код. В зависимости от страны пользователя и доступа к функциям SMS вредонос мог отправлять платные сообщения или подписывать пользователя на сервисы через скрытое WebView. Всего под подозрение попало 29 пакетов, и кстати, использовался AppsFlyer 😅 Мне удалось получить пару связанных с кампанией образцов, архив будет в комментариях.

Зато корпорация добра снова вставляет палки в колёса исследователям. Компания вносит изменение в архитектуру сетевой безопасности Android 17: теперь ОС будет проводить проверку Certificate Transparency для всех системных доверенных сертификатов — привычные методы перехвата трафика становятся неработоспособными, если приложение таргетит API 37.
Также в Android 17 внедрена поддержка Encrypted Client Hello (ECH) — той технологии, с которой начались блокировки Cloudflare в РФ. ECH шифрует поле SNI (Server Name Indication) в начале TLS-рукопожатия, что ограничивает возможности провайдера в "подглядывании" за пользователями. К августу 2027 года выбор API 37 станет обязательным для публикации в Google Play.

👆 Cloudflare включила Python в стек технологий, поддерживаемых Workers. Два года тестирования понадобилось, чтобы обеспечить работу родных Python-фреймворков вроде FastAPI и совместимость с R2/D1/Hyperdrive/Durable Objects и другими сервисами платформы; поддерживаются даже многие нативные библиотеки. Это отличная новость для всех, кто не любит Node (я)!

✏️ Интересное чтение на выходные: "жёлтые точки" теперь проставляют нейросети, маленькие хитрости, Visual FoxPro переписали с нуля


✈ Топ приложений на радарах

🍩 1xbet ~ 5 300 установок/д., 51 д. онлайн.
🍩 Masquerade Jester ~ 2 600 установок/д., 23 д. онлайн.
🍩 Jungle Wheel ~ 2 600 установок/д., 23 д. онлайн. Стиль: #wheel #aztec
🍩 Joker Jewel ~ 3 100 установок/д., 65 д. онлайн. Стиль: #joker
🍩 Joker Jewels VIP ~ 2 500 установок/д., 18 д. онлайн. Стиль: #joker
🍩 SacRxred ~ 3 750 установок/д., 51 д. онлайн. Стиль: #bison #light

🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 Tower Dash Стиль: #towerrush
🔫 T0wer Rush Стиль: #towerrush
🔫 Jоkеr’s Jеwеls Стиль: #joker
👨‍💻 Jоkеr's Jеwеls Стиль: #joker
🔥 Juicy Jackpot Стиль: #sevens #fruits
🔱 Fruitz Drop Rush Стиль: #fruits

🟡 Объём блокировок — Выше среднего.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

📱 Уже получили такой отчёт от Google?

В связи с требованиями британского регулятора Google добровольно-принудительно решила повысить прозрачность процессов. Начиная с 30 сентября компания дважды в год публикует агрегированную статистику по модерации и enforcement, чтобы разработчики в Великобритании и третьи стороны лучше понимали, как работает Google Play. Первый отчёт покрывает всего три месяца и несмотря на своё название, похоже, раскрывает общие цифры, а не только британские. В будущем корпорация обещает публиковать длительность модерации.

Семь миллионов модераций за три месяца.

👆 UK апрель-июнь 2026
👆 Общий отчёт за 2025 год

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 В Google Play появятся новые типы подписок: оплата по мере использования (без фиксированной цены), групповые подписки, смешанные корзины и бандлы подписок в разных приложениях. Целый раздел посвятили некоему "revenue shield" — набору технологий непрерывной оптимизации пользовательской базы, защиты от фрода, эффективных списаний. Окак.

Разработчик получил чужие нюдсы от модератора Google Play, когда пытался опубликовать в магазине легковесный текстовый редактор. Модератор прислал NSFW-снимки экрана стороннего приложения, апелляция не помогла.

"Fuck Android Developer Verification Program" — такова реакция пользователя Твиттера на запущенную 30 сентября для некоторых стран программу верификации разработчиков. Он рассказывает, что Google закрыла его оплаченный аккаунт за неактивность и не даёт создать новый. При этом распространять приложения просто так без идентификации и оплаты сбора нельзя — хобби-разработчики ограничены сложной процедурой допуска пользователей к своим APK и аудиторией в 20 устройств.

В магазине расширений Chrome опять нашли вредоносное расширение с аудиторией около 2 млн пользователей, опять "рекомендованное Google", опять кража данных из браузера. Забавно, что проблему обнаружили и зарепортили ещё в мае, и, конечно, Google не удалила его до сих пор.

И тут же специалисты LayerX Research описали сетку из 32 расширений для Chrome и Edge с аудиторией не менее чем 6 150 пользователей, которая также была нацелена на слив пользовательских данных. Кстати, боевую конфигурацию подтягивали с jsDelivr — у меня есть пост о том, как это делается.

👆 AppLovin подала в суд на Unity. Дело в том, что Unity предлагает разработчикам Ad Quality SDK — инструмент мониторинга рекламы, показывающейся в приложении. С его помощью разработчики (и Unity) могут видеть рекламные креативы, данные о пользователях и устройствах и многое другое, даже если реклама показывалась через AdMob или AppLovin MAX. Истец утверждает, "вклиниваться" в рекламу прямо внутри приложения незаконно, даже если разработчик приложения не против.
При этом Unity назвала свои финансовые результаты за второй квартал 2026 года рекордными, достигнув наивысших показателей с момента выхода на биржу в 2020 году — как утверждается, за счёт роста рекламного сегмента на базе ИИ. Или за счёт смерти Moloco 😏

👆 Cloudflare выпустила свою Jev-подобную модель. Если вы ещё не слышали о Jev, то это модель, которая, вместо того чтобы давать пространные ответы, способна "сказать и не рассуждать" — всегда возвращать валидный JSON по делу. Модели этого типа эффективно ранжируют, классифицируют материалы и принимают решения (к примеру, в играх).

Также компания представила бету K2 — Apache Kafka-подобное решение на edge. Для инфраструктуры это очень сильное решение, можно, например, запустить туда постбеки.

👆 Внезапно .si домены стали в цене — после убедительного предложения Трампа называть ИИ суперинтеллектом (SI), бизнесмены всех мастей кинулись скупать словенские домены. За сентябрь рост составил 2 199%, и говорят, что скупать начали ещё до публикации документа. Всё в лучших традициях нынешней администрации.

✏️ Интересное чтение на выходные: ты можешь как все эти индусы из LinkedIn, почта невероятно сложна но работает, назад в 56K


✈ Топ приложений на радарах

🍩 Masquerade Jester ~ 4 000 установок/д., 30 д. онлайн.
🍩 Jungle Wheel ~ 3 400 установок/д., 30 д. онлайн. Стиль: #wheel #aztec
🍩 Joker Jewel ~ 3 200 установок/д., 72 д. онлайн. Стиль: #joker
🍩 Jоkеr Jеwеls ~ 2 200 установок/д., 23 д. онлайн. Стиль: #joker
🍩 Jolly Jewels ~ 1 400 установок/д., 75 д. онлайн. Стиль: #joker
🍩 Medusa's Gold: Hidden Riches ~ 1 500 установок/д., 35 д. онлайн.

🔥 Лучшие приложения сервисов аренды (обозначения)

🔫 T0wer Rush Стиль: #towerrush
🔥 The Fruits Boom Стиль: #sevens #fruits #wheel
👨‍💻 Joker Gem Rush Стиль: #joker
❄️ Royal Joker Стиль: #joker #sevens #fruits
🔫 Jоkеr’s Jеwеls Стиль: #joker
🔥 Juicy Jackpot Стиль: #sevens #fruits

🔴 Объём блокировок — Высокий.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

🔵 По-настоящему серьёзная уязвимость в Telegram

В Telegram Desktop до версии 7.2.9 обнаружена уязвимость (CVE-2026-107181), которая связана с внутренними инструментами разработчиков мессенджера. Из-за отсутствия экранирования разделителя ; в ссылках tg:// параметры могли быть распознаны как специальная команда OPEN, способная запустить другую команду — interpret. Изначально последняя использовалась для публикации релизов самого Telegram: разработчики запускали клиент с аргументом командной строки, который обрабатывал что-то вроде interpret://command.txt и извлекал из него changelog, а также само обновление клиента. После чего клиент формировал и отправлял пост в заданный канал.

В версиях до 7.2.9 этот механизм доступен для всех не только через командную строку, но и через ссылки tg://. Злоумышленник может подготовить файл с командами, который после автоматической загрузки клиентом будет интерпретирован при нажатии на ссылку.

👆 Эксплуатация позволяет выгрузить любой файл, если доступ к нему есть у самого Telegram. Реальную цепочку разбирают зарепортившие данную проблему специалисты Beaksec в подробнейшем райтапе: от добавления в группу и до слива данных. Рекомендуется обновить ваши клиенты, установить код-пароль на вход в Telegram и отключить автозагрузку файлов.

А здесь можно найти коммит, полностью удаляющий interpret в новых версиях.

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

МОНИТОРИНГ ПОТЕРЬ ⚠️

Ребят, последние месяцы мы работали над одной из самых сложных и важных технических задач — уменьшением потерь трафика и прозрачностью передачи данных (то о чем разработки в большинстве своем не любят говорить).

Мы провели полный end-to-end аудит всей цепочки: от момента фиксации события до его передачи в MMP и отображения в статистике партнёра. Отдельно разобрали каждую точку, на которой могли возникать задержки, расхождения или потеря данных.

Мы построили систему, которая:

— сводит технические потери трафика к минимуму;
— показывает реальные цифры без ручных сверок на каждом этапе;
— автоматически фиксирует отклонения;
— позволяет партнёрам самостоятельно контролировать показатель в real time.


Что поменялось:

🟠 ПОТЕРИ СНИЖЕНЫ — ДО 1%

После длительной технической работы и оптимизации цепочки передачи данных мы удерживаем показатель потерь на уровне до 1%.

это не разовая корректировка, а результат системной переработки и постоянного контроля инфраструктуры

🟠 REAL-TIME МОНИТОРИНГ В CRM

По Android-приложениям показатель потерь теперь отображается непосредственно в CRM.

Больше не нужно ориентироваться только на предоставленные нами цифры или ждать отдельной ручной сверки. Все наши цифры по вашему неймингу вы сможете видеть в CRM.

Также над каждым приложением появится плашка, которая показывает общий процент потерь по ней.

🟠 АВТОМАТИЧЕСКИЙ КОНТРОЛЬ ЧЕРЕЗ PUSH-БОТА

Дополнительно мы внедрили отдельный автоматический слой мониторинга.

Push-бот непрерывно отслеживает показатели по Android-приложениям. Если система фиксирует отклонение от установленного уровня, команда моментально получает уведомление и может оперативно отреагировать.

Меньше слепых зон. Больше данных, прозрачности и контроля.

👆 Дуров завёз стену serverless-ботов, на них кроме серверных функций можно бесплатно размещать статику. Похоже, что старый, но всё ещё актуальный пост "Где захостить политику конфиденциальности для приложения" пора обновлять — в открытом тестировании находятся интересные функции для ботов. Мою заявку на доступ одобрили, и я имею сказать следующее: аккаунт с премиумом может создать до 40 ботов, каждый бот получает уникальный адрес вида app<цифры>.tgcloud.ai, сайты между собой внешний наблюдатель связать не может, есть CLI для автоматизации деплоя, ну а сколько стоит пачка аккаунтов, вы и без меня знаете. Вероятно, если Telegram одобрят заявку на собственный TLD, боты смогут получить домены в этих зонах.
Кстати, заявку на фирменный TLD подал и украинский Monobank — .mono

👆 Зачем продвигать приложения при помощи рекламы, если их можно просто предустановить прямо на заводе? Наверное, так думали создатели кампании Midnight Mimosa — вредоносных приложений, которые устанавливаются на недорогие Android-смартфоны вроде Doogee S200 X и на поддельные Samsung. Будучи системными неудаляемыми пакетами, вредоносы могли выступать в качестве нод резидентных прокси, имитировать взаимодействие с рекламой для скликивания, загружать и устанавливать произвольные пакеты, отключать Play Защиту. Специалисты Bitdefender нашли ещё и 13 связанных с кампанией пакетов в Play Store, реализующих некоторые из функций своих старших братьев.

👆 В App Store появились новые креативы: картинка или видео в верхней части страницы приложения (header), отдельный креатив для результатов поиска (search results) и общая библиотека креативов (asset library). Новые креативы можно заранее отправить на ревью, а после одобрения использовать для опубликованной версии без новой сборки. Новые креативы необязательны, дополняют существующие скриншоты и показываются только на iOS и iPadOS 27+. Также открыли загрузку скриншотов для iPhone Duo.

👆 OpenAI для соответствия нормам ЕС начинает маркировать тексты, в том числе код. ИИ будет намеренно выбирать определённые синонимы, чтобы "зашить" невидимый водяной знак, который затем может быть оттуда извлечён при помощи специального детектора — это часто называют "шпионскими отметками" из-за того, что водяной знак может нести в себе не только данные о своём происхождении, но и довольно большой объём произвольных данных. Ну, например, ID аккаунта, который текст сгенерировал.
Инструмент обнаружения для медиафайлов у OpenAI доступен давно, а на доступ к текстовому детектору пока только принимают заявки. Google, кстати, на этой неделе запустила свой инструмент для обнаружения SynthID, причём не только в своих генерациях, но и в генерациях партнёров: OpenAI, Nvidia, Kakao и вскоре Apple. Работу с текстом эта утилита тоже не поддерживает.
По заявлению самой OpenAI, замена 10% слов на синонимы снижает шанс обнаружения водяного знака с 92% до 66%.

👆 Сразу два гиганта запускают свои генераторы приложений "одним промптом": Google Playground и Unity Spark. Пока второй только собирает заявки на ранний доступ, первый уже доступен в США. Проект позволяет сгенерировать игру на основе HTML5, при этом ИИ сам пишет дизайн-документ, сам генерирует музыку, звуки, спрайтшиты и отдельные спрайты. Нужно ли мне рассказывать вам о важности быстрой генерации ИИ-слопа мелких прототипов в нашем деле?

✏️ Интересное чтение на выходные: Siri хакнули чтобы добавить в Minecraft, странные звуки AirPods, кофемашина отправила 1ТБ данных за 10 дней


✈ Топ приложений на радарах

🍩 Jungle Wheel ~ 6 400 уст./д., 37 д. онлайн.
🍩 Crystal Beam Wheel ~ 3 400 уст./д., 30 д. онлайн.
🍩 Sugar Sweep Home Chores ~ 3 400 уст./д., 30 д. онлайн.
🍩 Joker Jewel ~ 3 800 уст./д., 79 д. онлайн.
🍩 Masquerade Jester ~ 5 400 уст./д., 37 д. онлайн.

🔥 Лучшие приложения сервисов аренды (обозначения)

👨‍💻 Joker Gem Rush Стиль: #joker
🔫 Jоkеr’s Jеwеls Стиль: #joker
🔥 Tower Dash Стиль: #towerrush
🔥 The Fruits Boom Стиль: #sevens #fruits #wheel
😈 Vulcan Стиль: #volcano


🔴 Объём блокировок — Высокий.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды