⚡ Обзор трендов за неделю

↖️ Специалисты Dr.Web опубликовали сразу два интересных отчёта — обзор вирусной активности для мобильных устройств в четвёртом квартале 2025 года и в 2025-м году вообще. К этим отчётам мы здесь на канале традиционно присматриваемся, потому что их аналитики довольно много внимания уделяют нашей работе: они вынесли наши приложения в отдельную категорию FakeApp (совершенно ошибочно, я считаю) и периодически пишут о них.

Важный раздел — тренды, отмеченные аналитиками в 2025 году:
▪️ Растёт использование техник обфускации кода, полагающихся на его конвертирование в нативный C-бинарник. В данном случае они упоминают преобразование DEX (что-то типа этого), но нашим специалистам ближе будет Unity с его IL2CPP.
▪️ Хакеры стали чаще обращаться к модификации и повреждению APK-файлов, так, чтобы они труднее опознавались инструментами анализа. Для загрузки в стор это неприменимо.
▪️ Впервые появились программы, использующие Redis и Telegram в качестве средства управления (C2).
▪️ Хакеры стали уделять большое внимание модам, распространяя свои версии мессенджеров или сразу модифицируя прошивки устройств.
▪️ Отмечается растущее давление на сторы, и дело тут не в FakeApp, а в более опасных угрозах, которые тоже беспрепятственно появляются в официальных магазинах и скачиваются пользователями в больших количествах.

Впрочем, специалисты Dr.Web явно не подписаны на Traffic Arts, иначе в этом году им бы удалось наработать значительно более существенную базу образцов. Серьёзно, даже обидно: из FakeApp показали несчастное Chicken Road Fun, набравшее тысячу установок. И вообще ребята говорят, что за целый 2025 год им удалось зафиксировать только 100 подобных программ. Если у специалистов компании в остальных областях экспертиза находится на подобном уровне, что ж, у меня есть для них плохие новости.

↖️ OpenAI запустила переводчик и расширяет тестирование рекламы. И то, и другое в принципе лежало на поверхности: даже без специальной страницы ChatGPT показывал неплохие результаты в переводе между обычными языками и фантастические результаты в случае языков необычных — например, врачебных каракулей в нормальный текст. Что касается рекламы, то грех будет после перевода не добавить, скажем, к рекомендациям вашего косметолога витрину продуктов из ближайших аптек. Особенно если агент сможет по нажатию одной кнопки сразу оформить заказ и доставку — настоящий киберпанк получается. Ждём в каждом холодильнике, ну а пока реклама будет только для взрослых пользователей из США.

✏️ Интересное чтение на выходные: абсолютно захватывающая история о том, как специалисты по форензике раскрыли подделку редких карточек с покемонами — настолько редких, что их цена достигала нескольких десятков тысяч долларов за штуку. История интересна тем, что доказательство находилось прямо на бумаге — закодированное в таинственных жёлтых точках, о которых, я надеюсь, подписчики канала знают, но никогда не видели воочию.


✈️ Топ приложений на радарах

🍩 Magic Shard Drops ~ 6 100 установок/день, 91 день онлайн. Стиль: #plinko
🍩 Glass Crash ~ 2 900 установок/день, 74 дня онлайн. Стиль: #chicken
🍩 Golden Cluck ~ 2 200 установок/день, 34 дня онлайн. Стиль: #chicken
🍩 Sports Scores & Odds ~ 6 100 установок/день, 19 дней онлайн. Стиль: #1xbet #light
🍩 Chicken Slide ~ 1 300 установок/день, 14 дней онлайн. Стиль: #chicken
🍩 Joker Stars ~ 2 439 установок/день, 42 дня онлайн. Стиль: #joker
🍩 Chicke Combo ~ 1100 установок/день, 45 дней онлайн. Стиль: #chicken

🔥 Лучшие приложения сервисов аренды (обозначения)

🔫 Ice Fishing Sort Стиль: #fish
🔥 Juicy Flame Fruits Стиль: #fruits
🦋 Chicken Token Стиль: #chicken
🔫 Zeus Divine Balance Стиль: #zeus
🦋 Cosmic Plin Стиль: #plinko
🦋 Running Chick Стиль: #chicken


🟡Объём блокировок — Средний.

#тренды

🖼 Подписаться: @trafficarts | 💡 Чат: Traffic Arts Chat

⚡ Обзор трендов за неделю

↖️ Google согласилась выплатить более 8 миллионов долларов для урегулирования судебного иска, связанного с отслеживанием данных детей. Суть претензии заключается в том, что компания намеренно позволяла рекламному SDK AdMob функционировать в приложениях, участвующих в программе "Приложения для всей семьи", а оно, разумеется, собирало данные всех пользователей, несмотря на их возраст: IP-адреса, геолокацию и идентификаторы. Это нарушает закон COPPA, который требует, чтобы разработчики проверяли согласие родителей, прежде чем собирать такую информацию. Google знала о проблеме ещё в 2018 году после предупреждений исследователей, но продолжала незаконный сбор ради рекламной выручки.

↖️ Разработчику из Казахстана удалось опубликовать весьма простую игру в Steam. Вообще, история такова, что правительство выделило почти полмиллиона долларов на развивающую игру, но компании "United Kingdom" удалось упростить концепцию до раннера в духе Subway Surfers. Для нас данная разработка скорее интересна тем, что она вообще появилась в Steam. Unity-игра размером всего 120 мегабайт (во всяком случае, так на Android) — это что-то, что могли бы сделать и наши мастера, а арбитражные воронки через Steam, кажется, существовали уже давно.

↖️ Специалисты Dr.Web всё же рассказали об интересном вредоносе для Android. На прошлой неделе мы их ругали за скучные отчёты, но кое-что они оставили на сладкое: обычный, на первый взгляд, троян, который запускает скрытый WebView для накрутки рекламных показов. Интересно здесь то, что автоматизация действий в браузере выполняется при помощи машинного обучения на фреймворке TensorFlow.js. Нейросеть находит на экране браузера интерактивные элементы, чтобы скрипт автоматизации мог взаимодействовать с ними.
На моей памяти это четвёртый интересный и реально полезный способ применения ИИ в арбитраже трафика через Android-приложения — отдать некоторую его функциональность на откуп небольшой локальной модели. Думаю, таким образом можно реализовать и клоакинг, и kill-switch, а уникализация "кода", то есть весов модели, не составляет труда. Выглядит как здравая идея на будущее, расскажите, если получится 😏

↖️ Bug bounty-программа проекта cURL на HackerOne закрывается из-за наплыва AI-слопа. Проект оказался буквально завален огромным количеством некачественных отчётов о "мнимых" уязвимостях, и, учитывая размер команды, глава проекта Даниэль Стенберг принял решение о прекращении листинга на HackerOne. С 1 февраля проект больше не будет выплачивать денежные вознаграждения, мусорные сообщения об уязвимостях будут высмеиваться, а их авторы баниться. При этом Стенберг не всегда критикует сообщения о багах, отправленные с помощью ИИ — в сентябре проекту удалось исправить 22 ошибки, найденные AI-анализатором кода ZeroPath.
В ИИ-эпоху многие спешат отправлять репорты — в cURL, арбитражным командам, владельцам сайтов, в общем, всем, кто выглядит сколько-нибудь платёжеспособным. Вчерашние школьники и студенты почувствовали в своих руках силу длинных отчётов сканеров уязвимостей, ну а с результатами их труда, я думаю, знакомы многие коллеги.

✏️ Интересное чтение на выходные: почему на одно нажатие клавиши SSH-протокол отправляет 100 пакетов?


✈️ Топ приложений на радарах

🍩 Glass Crash ~ 3 600 установок/день, 81 день онлайн. Стиль: #chicken
🍩 Chicken Road: Real Money Win ~ 5 800 установок/день, 20 дней онлайн. Стиль: #chicken
🍩 Magic Shard Drops ~ 6 300 установок/день, 98 дней онлайн. Стиль: #plinko
🍩 Chicken Road 2: Official App ~ 2 500 установок/день, 39 дней онлайн. Стиль: #chicken
🍩 Joker Stars ~ 2 439 установок/день, 42 дня онлайн. Стиль: #joker
🍩 Candy Fill Master ~ 900 установок/день, 58 дней онлайн. Стиль: #bonanza

🔥 Лучшие приложения сервисов аренды (обозначения)

🔫 Ice Fishing Sort Стиль: #fish
🦆 Silly Joker Стиль: #joker
👨‍💻 Chicken Road Стиль: #chicken
🔫 Chicken Clear Road Стиль: #chicken
🦋 Running Chick Стиль: #chicken
🔥 Ice Fishing: Catch & Win Стиль: #fish

🟡Объём блокировок — Средний, растёт.

#тренды

🖼 Подписаться: @trafficarts | 💡 Чат: Traffic Arts Chat

⚡ Обзор трендов за неделю

↖️ Google заблокировала сеть ведущего поставщика резидентных прокси — IPIDEA. Последняя использовала разные "агрессивные" практики для получения доступа к домашним IP, например, распространяла несколько SDK для монетизации приложений. Выходными узлами также становились пользователи бесплатных VPN-сервисов, а всего сеть насчитывала более 60 млн резидентных прокси.
Специалистам Google удалось обнаружить более 600 приложений с вредоносными SDK и обучить Google Play Protect блокировать новые приложения такого типа. В операции против IPIDEA принимали участие специалисты Cloudflare и других компаний — вместе им удалось нарушить целостность сети, а также обезвредить компоненты ботнета на других платформах, например, на Windows.

Идея платить разработчикам приложений за монетизацию своих пользователей не нова, но в мире WebView-приложений не практикуется из-за относительной простоты обнаружения наличия этого самого WebView. Век таких приложений недолог, и, конечно, прочные партнёрские отношения с разработчиками в таких условиях не наладить. В то же время идея организации резидентных прокси выглядит намного более привлекательной и даже прибыльной. Не удивлюсь, если после очередного закручивания гаек мы увидим смещение фокуса с разработки WebView-приложений на более тёмную сторону.

↖️ Русскоязычные разработчики продают вредоносные расширения для браузеров на основе Chrome с гарантией прохождения модерации в магазин расширений. Всего за 6 тыс. долларов предлагается полный фарш: подмена веб-страницы на фишинговую без изменения URL в адресной строке, установка расширения в четыре известных браузера, веб-панель администратора и полная поддержка при прохождении модерации в Chrome Web Store.

Не устаю намекать читателям, что сейчас самое время заходить в магазины расширений для браузеров, IDE, репозитории пакетов и всего, что предлагает что-то куда-то установить, но пока плохо модерируется 😀 Умельцы вот даже Hugging Face уже освоили.

✈️ Топ приложений на радарах

🍩 Glass Crash ~ 4 100 установок/день, 88 дней онлайн. Стиль: #chicken
🍩 Chicken Road: Real Money Win ~ 6 300 установок/день, 27 дней онлайн. Стиль: #chicken
🍩 Chicken Road 2: Official App ~ 3 000 установок/день, 27 дней онлайн. Стиль: #chicken
🍩 Candy Fill Master ~ 1 300 установок/день, 65 дней онлайн. Стиль: #bonanza
🍩 Ice Fishing Catch ~ 6 300 установок/день, 26 дней онлайн. Стиль: #fish
🍩 Chckn Card Road ~ 2 500 установок/день, 15 дней онлайн. Стиль: #chicken


🔥 Лучшие приложения сервисов аренды (обозначения)

🦆 Silly Joker Стиль: #joker
🔥 Chicken Road : Cash Hit Стиль: #chicken
🔫 Chicken Clear Road Стиль: #chicken
👨‍💻 Chicken Road Стиль: #chicken
🔥 Cocktail Craze Rush Стиль: #fruits #sevens
🦋 Burning Crown Стиль: #joker #fruits

🟡Объём блокировок — Средний, растёт.

#тренды

🖼 Подписаться: @trafficarts | 💡 Чат: Traffic Arts Chat

⚡ Обзор трендов за неделю

↖️ Исследователь опубликовал инструмент анализа и удаления вотермарок SynthID из текста. Репозиторий на GitHub описывает, как именно работает SynthID и предлагает 4 атаки на него, называя атаку перефразирования самой эффективной: инструмент перефразирует текст и это позволяет добиться 90-100% результата. Также у автора есть репозиторий, посвящённый инструменту обнаружения SynthID на изображениях.

Позволю себе интерполировать информацию из репозитория на аналогичную вотермарку для изображений и видео:
▪️ Вотермарка встраивается не в готовый кадр, а влияет на процесс его генерации встраивая "флажки" для детектора. Они невидимы для глаза, но обнаруживаемы при помощи частотного анализа
▪️ Алгоритм детекции спроектирован так, чтобы быть дешёвым — обнаружение водяного знака не требует повторной генерации. Всё что нужно сделать — это разобрать информацию обратно на токены и выявить статистический паттерн, соответствующий секретному ключу
▪️ Водяной знак распределён по всему изображению. Чем больше изображения используется, тем больше вероятность попасться детектору
▪️ Агрессивная трансформация способна разрушить водяной знак, но обрезку и фильтры он переживёт
▪️ Детекция носит стохастический характер — нельзя сказать, что "это изображение точно имеет водяной знак", можно только утверждать, что водяной знак присутствует с некоторой вероятностью.

↖️ LinkedIn сканирует ваш браузер на наличие 2953 расширений каждый раз, когда вы загружаете страничку. Проверка работает только в Chrome, а большинство расширений представляют угрозу для бизнес-модели LinkedIn и за их использование можно схлопотать бан — "Linked CRM", "Talent Swiper", "RozmeriGPT: Smart LinkedIn Assistant" и другие позволяют собирать информацию с профилей и автоматизировать различные действия. Платформа чувствует угрозу, исходящую от ИИ-ассистентов, ведь по сути единственной ценностью LinkedIn является информация о пользователях. Однако масштабы фингерпринтинга поражают. Кстати, там не только расширения проверяют.

✏️ На внеклассное чтение эта неделя была необычно богата:
➖ Где хранить резервные копии? Автор публикации описал большинство доступных носителей информации и аргументированно выбрал несколько лучших решений.
➖ Просто добавь Postgres — автор рассказывает, как единственная СУБД способна заменить семь. Ну а если вам нужно что-то попроще, то там Alibaba выпустили AliSQL — open source форк MySQL со встроенным аналитическим движком DuckDB (отлично работает!) и векторными индексами.
➖ Проблема похожести "1" и "l" в шрифте Courier New вышла на новый уровень — она мешает активистам получить доступ к опубликованным Минюстом США бинарным вложениям в письма Эпштейна. В архиве содержатся сотни страниц с вложениями в кодировке Quoted-Printable, но из-за того, что документы предоставлены в растровом формате, восстановление файлов превращается в задачу со звёздочкой. Автор рассказывает о своих попытках восстановить файлы, а сообщество активно предлагает свои решения.


✈️ Топ приложений на радарах

🍩 97Flight Gap ~ 17 700 установок/день, 17 дней онлайн. Стиль: #aviator #light
🍩 J188Aviator Aerial Combat ~ 11 200 установок/день, 28 дней онлайн. Стиль: #aviator #light
🍩 Glass Crash ~ 4 100 установок/день, 88 дней онлайн. Стиль: #chicken
🍩 Chicken Puzzle Run ~ 2 900 установок/день, 20 дней онлайн. Стиль: #chicken
🍩 Ice Fishing Catch ~ 6 300 установок/день, 26 дней онлайн. Стиль: #fish
🍩 Tower Rush ~ 1 800 установок/день, 29 дней онлайн. Стиль: #towerrush

🔥 Лучшие приложения сервисов аренды (обозначения)

🦆 Silly Joker Стиль: #joker
🔫 Ice Flow Fishing Стиль: #fish
🔫 Chckn Card Road Стиль: #chicken
👨‍💻 Chicken Road Стиль: #chicken
🔥 Cocktail Craze Rush Стиль: #fruits #sevens
🦋 Cosmic Plin Стиль: #plinko

🟡Объём блокировок — Средний.

#тренды

🖼 Подписаться: @trafficarts | 💡 Чат: Traffic Arts Chat

⚡ Обзор трендов за неделю

↖️ Google опубликовала очередной похвальный отчёт "Как мы сохранили экосистему Android в безопасности в 2025 году". Вот что они там пишут:
▪️ Заблокировали более 80 тыс. аккаунтов за "попытки публикации вредоносных приложений". При этом в 2024 году такая же участь постигла 158 тыс. аккаунтов, в 2023 — 333 тыс. Динамика объясняется повышением порога входа, что делает создание аккаунтов более дорогим занятием.
▪️ Также заблокировали 1.75 миллиона приложений. Это гораздо меньше, чем в 2024 году: тогда эта цифра составила 2.36 млн.
▪️ Введена система, анализирующая приложения по более чем 10 тысячам факторов. Тут, к сожалению, без деталей, кроме того, что эти проверки выполняются при помощи ИИ.
▪️ Хвалят новую систему верификации разработчиков. Теперь, по словам Google, хакеры всё чаще предпочитают не связываться с официальным магазином.
▪️ Главное достижение — внедрение ИИ. Генеративный интеллект "помогает команде модераторов выявлять сложные паттерны", а также "обнаруживать спам-отзывы", благодаря чему удалили 160 миллионов оценок. Компания обещает продолжить инвестировать в ИИ-защиту.

Ожидать от Google заявлений в стиле "у нас не очень получается бороться со скамом" не приходится, но наблюдать такую браваду тоже странно. На мой взгляд, в начале 2025 года случился перелом, после которого разместить WebView-приложение в магазине стало наоборот легче. Конечно, афилейт-спам и не должен быть самым главным приоритетом у команды безопасности, но, наблюдая за новостями, понимаешь, что в более важных делах специалисты Google, кажется, тоже не преуспели.

↖️ Keitaro опять не везёт: трекер засветился в новой спам-кампании, связанной с инфраструктурой Atlassian. Пользуясь возможностью создавать аккаунты в Jira, злоумышленники могли отправлять почту от имени Atlassian при помощи встроенных инструментов автоматизации, а благодаря высокому доверию почтовых сервисов к таким письмам спам без труда попадал в папку "входящие". При этом мошенники тщательно подбирали аудиторию, целясь в основном в государственных служащих и работников крупных компаний в сфере IT, отельно-ресторанного бизнеса и банковского сектора.
Ссылки, размещённые в письмах, вели на TDS-серверы злоумышленников (Keitaro), а оттуда на лендинг-страницы, посвящённые финансовому скаму и казино.

Представьте себе: у вас появляется технология, позволяющая от имени уважаемой компании отправить письмо любого содержания (на снимках экрана видно, что злоумышленники управляли вёрсткой письма), и вы тратите её на то, чтобы показать клеркам... ленд с колесом Чин-Чин казино. Одно из двух: это или огромная глупость, или данная технология уже давно была отработана и пошла в тираж.

✏️ Интересное чтение на выходные, на этот раз приключения разработчиков: один хотел управлять роботом-пылесосом DJI при помощи джойстика, но обнаружил, что имеет доступ к камерам и микрофонам 7 тыс. пылесосов в 24 странах. Другой на заходил на FB 8 лет, и вот что с ним стало когда он всё-таки зашёл. Третий посмел отказать ИИ-агенту в мерже пулл-реквеста, и столкнулся с обвинениями в предвзятости (от того же агента). Четвёртый устал искать синтаксис команды tar и написал удобный ИИ-инструмент, превращающий пожелания в команды bash.

✈️ Топ приложений на радарах

🍩 Glass Crash ~ 6 300 установок/день, 109 дней онлайн. Стиль: #chicken
🍩 Tower Rush ~ 3 600 установок/день, 43 дня онлайн. Стиль: #towerrush
🍩 777 Wild West Carnival ~ 3 600 установок/день, 44 дня онлайн. Стиль: #sevens
🍩 Frosty Nimble Chick ~ 1 000 установок/день, 29 дней онлайн. Стиль: #chicken
🍩 Pharaoh Gold Slots ~ 2 800 установок/день, 83 дня онлайн. Стиль: #egypt
🍩 Candy Fill Master ~ 1 700 установок/день, 86 дней онлайн. Стиль: #bonanza

🔥 Лучшие приложения сервисов аренды (обозначения)

🦆 Silly Joker Стиль: #joker
👨‍💻 Chicken Road Стиль: #chicken
🦋 Lime Shots Стиль: #fruits
🦋 Farm Manager Стиль: #chicken
🔥 Lucky Balls: Plin Стиль: #plinko
👨‍💻 Frozen Ice Catch Стиль: #fish

🟡Объём блокировок — Средний.

#тренды

🖼 Подписаться: @trafficarts | 💡 Чат: Traffic Arts Chat

⚡ Обзор трендов за неделю

↖️ Специалисты российской Group-IB рассказали о кампании GTFire — фишинговой схеме, построенной на сервисах Firebase и Google Translate. Для нас отчёт интересен тем, как изящно мошенникам удавалось обходить разнообразные фильтры и просто пользоваться доверием к сервисам Google: свои страницы они хостили на web.app, а ссылки для маскировки пропускали через Переводчик.

Дальше всё довольно прозаично, атака затронула более тысячи организаций из 100+ стран, но самой мякоткой здесь, конечно, является этот трюк с легитимными сервисами Google.

↖️ Исследователи из Oversecured поделились результатами исследования 10 Android-приложений для ментального здоровья. Согласно данным, им удалось обнаружить 1575 брешей в безопасности, из которых 54 оказались высокой степени критичности. Почти половина из них приходится на одно приложение — ИИ-терапевт.

Цифры, конечно, впечатляющие, если не знать как выглядит типичный отчёт любого SAST/DAST-инструмента, а ведь Oversecured продаёт один из них. Тем не менее в 54 уязвимости верится охотно, и верилось бы ещё лучше, если бы специалисты компании поделились отчётом. Но пока что в глаза его видели только сами специалисты Oversecured и Ionut Ilascu из BleepingComputer — слишком мало для нас с вами, но достаточно, чтобы новость разлетелась по профильным изданиям.

Меня здесь, конечно, веселит, что Google осталась в стороне. И это после всех усилий, которые нам расписывают в ежегодных отчётах, после введения внешнего аудита безопасности для приложений в магазине! Впрочем, Google, наверное, отреагирует на эти заявления, но её реакция нам может прийтись не по душе — кстати, блокировки уже стали усиливаться.

✏️ Интересное чтение на выходные: история о том, как собака научилась вайбкодить и уже три месяца делает компьютерные игры. Журналист заставил ИИ-ассистентов поверить, что он лучше всех поедает хот-доги, написав выдуманную статью в личном блоге. Отчёт "какой стек предпочитают модели Claude Code?". Исследователь автоматизировал поиск визуально похожих символов в разных шрифтах и поделился находками.

✈️ Топ приложений на радарах

🍩 Fortune Fighter Defense ~ 1 300 установок/день, 129 дней онлайн. Стиль: #chicken
🍩 Plinca Do ~ 650 установок/день, 143 дня онлайн. Стиль: #plinko
🍩 Rush to Olymp ~ 570 установок/день, 98 дней онлайн. Стиль: #zeus
🍩 777 Wild West Carnival ~ 3 400 установок/день, 51 день онлайн. Стиль: #sevens
🍩 Pyramid of Riches ~ 1 200 установок/день, 22 дня онлайн. Стиль: #egypt
🍩 Chicken Farming ~ 1 400 установок/день, 22 дня онлайн. Стиль: #chicken
🍩 Thunder XCoin ~ 1 200 установок/день, 25 дней онлайн. Стиль: #fruits

🔥 Лучшие приложения сервисов аренды (обозначения)

🦆 Silly Joker Стиль: #joker
🔫 Ice Time Fishing Стиль: #fish
🦋 Sevens Match Стиль: #sevens #fruits
🔫 Ice Fishing Стиль: #fish
🦋 Farm Manager Стиль: #chicken
🦋 Lime Shots Стиль: #fruits

🟡Объём блокировок — Средний, усиливается.

#тренды

🖼 Подписаться: @trafficarts | 💡 Чат: Traffic Arts Chat

⚡ Обзор трендов за неделю

🍩 На этой неделе вышел мой каталог сервисов аренды приложений для арбитража. Подписчики тепло встретили идею — переходите посмотреть, если ещё не сделали этого.

↖️ Google запустила рейтинг AI-моделей Android Bench, призванный показать их эффективность в сфере мобильной разработки. Компания спроектировала свой рейтинг таким образом, что он учитывает способности моделей работать со специфическими для Android-разработки задачами, например, Jetpack Compose. Разумеется, победителем является Gemini 3.1 Pro Preview, но важно здесь другое: подталкивая разработчиков к пользованию моделями, Google как бы нормализует само по себе использование AI в разработке приложений. Это важный сигнал, показывающий, что сгенерированный код не должен сам по себе быть ред-флагом для модераторов Google Play.

↖️ Практикующие инженеры, правда, не в восторге от повсеместного внедрения ИИ — они жалуются, дескать, автоматизация спровоцировала неконтролируемый рост ожиданий и появление "парадокса надзора", который заключается в том, что усилия, прилагаемые на анализ сгенерированного кода, могут превышать усилия на его написание с нуля. Ещё описывают понятие "иллюзии поверхностной компетенции" и хоронят junior-позиции. Советы в последнем материале выглядят весьма забавно и очень современно, например "не доверяй коду, который не понимаешь". В отличное будущее идём, господа и дамы. Думаю, в этом году следует ожидать появления AI-first фреймворков и архитектурных паттернов — то есть таких, что не предназначены для использования людьми вообще.

↖️ Ещё один мув от Google — компания не стала дожидаться, пока суд в США одобрит мировое соглашение с Epic Games, и объявила об изменениях в Google Play. Комиссия для разработчиков снижается с 30% до 20% для новых установок, а при отказе от платёжной системы Google сбор упадёт ещё на 5%. Кроме того, запустят "Registered App Stores" — программу, которая упростит установку приложений из сторонних магазинов без пугающих предупреждений системы безопасности.

↖️ А ещё оказалось, что правительственные структуры США используют данные интернет-рекламы для слежки за гражданами. Для нас интерес представляет простая технология этого решения: прогосударственный актор зарегистрировался как участник рекламного аукциона (RTB). Статья описывает, что рекламные сети передают данные о пользователях тысячам участникам рынка каждый раз, когда проводится аукцион на рекламный плейсмент.

Вы спросите: а при чём тут мы? Ну, установка приложения из источника, мотивированная креативом на плейсменте, за который проводился аукцион — это отличное место, в котором можно подрезать атрибуцию в обход всяких там ограничений Apple 😏

✏️ Интересное чтение на выходные: Duolingo сливает данные китайской ByteDance, запустится ли Doom на клавиатуре, мейнтейнер open source проекта проиграл SEO-войну, 23 iOS эксплойта на скам-лендах, Polaroid для бедных.

✈️ Топ приложений на радарах

🍩 Fortune Fighter Defense ~ 1 600 установок/день, 136 дней онлайн. Стиль: #chicken
🍩 Rush to Olymp ~ 700 установок/день, 105 дней онлайн. Стиль: #zeus
🍩 Chicken Farming ~ 1 600 установок/день, 22 дня онлайн. Стиль: #chicken
🍩 Puzzle Glide ~ 800 установок/день, 30 дней онлайн. Стиль: #towerrush
🍩 King of Egypt Fortune Slots ~ 800 установок/день, 30 дней онлайн. Стиль: #sevens #egypt
🍩 Axis Drift ~ 700 установок/день, 30 дней онлайн. Стиль: #towerrush

🔥 Лучшие приложения сервисов аренды (обозначения)

🦆 Silly Joker Стиль: #joker
🔫 Tower Align Rush Стиль: #towerrush
🔫 Ice-Fishing-Number Стиль: #fish
🔫 Mega Win: Drop Стиль: #wheel
🦋 Sevens Match Стиль: #sevens #fruits
🦋 Lime Shots Стиль: #fruits

🟡Объём блокировок — Средний.

#тренды

🖼️➡️ подписаться ▪️ чат ▪️ каталог сервисов аренды

⚡ Обзор трендов за неделю

🍩 Читайте один из лучших постов на канале — "Playable ads на коленке".

↖️ Взлом AppsFlyer. Согласно официальному заявлению AppsFlyer, распространённому только среди действующих клиентов сервиса, в период с 9 марта 23:26 (UTC) до 09:47 следующего дня DNS-записи доменного имени appsflyer.com находились в руках злоумышленника, сумевшего убедить службу поддержки регистратора (по-видимому, GoDaddy) сбросить пароль от кабинета.
Получив контроль над доменом, злоумышленнику удалось развернуть целую инфраструктуру поверх легитимных сервисов AppsFlyer. Основной целью атаки стало Web SDK — код отслеживания, по принципу работы похожий на Google Analytics, то есть внедряемый на страницы сайтов. Атакующий подменил код на криптовалютный клиппер — гибкую программу, управляемую набором правил, загружаемым тут же с домена AppsFlyer. Правила были нацелены на подмену адресов криптокошельков в браузере.
По сообщениям AppsFlyer, мобильный SDK затронут не был, но соглашаться с этим трудно, поскольку доменное имя находилось полностью в руках злоумышленника, а пользователи замечали недоступность дашбордов и даже статус-страницы. Первое и пока самое серьёзное публичное обсуждение появилось на Reddit, сама же компания стремится придавать возникшей проблеме как можно меньше огласки.

Процедура сброса пароля у доменных регистраторов всегда сопровождается идентификацией, так что почти наверняка злоумышленнику удалось получить сперва доступ к, например, admin-почте доменного имени и только потом захватить контроль над доменом. Успех предприятия, я думаю, оказался для него неожиданностью, поэтому вредоносная нагрузка была сделана "на скорую руку" и содержала ошибки. Собственно, благодаря этим ошибкам, ломающим сайты, подмену удалось обнаружить довольно быстро.

Эта ситуация могла бы повлиять на готовящуюся продажу компании за 1.9 млрд долларов, но сделка сорвалась из-за опасений покупателя, что стоимость программного обеспечения упадёт в связи с повсеместным внедрением ИИ. Нужно отметить, что оценка 1.9 млрд и так довольно сдержанна: в 2020 году компания оценивалась в 2 млрд, а совет директоров ожидал оценки до 3 млрд долларов.

↖️ WordPress выпустила три патча за 30 часов — это самая быстрая серия апдейтов с 2003 года. Компания фиксила уязвимости, которые в декабре, предположительно, позволили злоумышленникам захватить несколько сотен сайтов для развёртывания кампании ClickFix.

Дополнительно, более 250 тыс. сайтов на WordPress оказались под угрозой из-за уязвимости в плагине Ally — данные из URL напрямую попадают в SQL-запрос без какой-либо очистки. Из-за структуры запроса возможности злоумышленника несколько ограничены, зато уязвимость доступна для эксплуатации даже неаутентифицированным пользователям.

Гораздо интереснее выглядит недавно обнаруженная уязвимость плагина Tutor LMS Pro, затрагивающая всего 30 тыс. сайтов на WP. Разработчики допустили ошибку в механизме аутентификации, что позволяет подменить e-mail и войти в аккаунт администратора, используя любой валидный токен OAuth.

✏️ Интересное чтение на выходные: конверсия MacBook в Framework, моя любимая DuckDB показала BigData на новом MacBook Neo, облачное хранилище на Instagram.

✈️ Топ приложений на радарах

🍩 Fortune Fighter Defense ~ 1 900 установок/день, 143 дня онлайн. Стиль: #chicken
🍩 Gold Wing ~ 1 700 установок/день, 31 день онлайн. Стиль: #chicken #egypt
🍩 Cozy Road ~ 600 установок/день, 87 дней онлайн. Стиль: #chicken
🍩 Rush to Olymp ~ 900 установок/день, 112 дней онлайн. Стиль: #zeus
🍩 Pyramid of Riches ~ 1 700 установок/день, 36 дней онлайн. Стиль: #egypt
🍩 Luma Horizon ~ 700 установок/день, 80 дней онлайн. Стиль: #chicken

🔥 Лучшие приложения сервисов аренды (обозначения)

🦆 Silly Joker Стиль: #joker
🦋 Sevens Match Стиль: #sevens #fruits
🦋 Lime Shots Стиль: #fruits
🦋 Infinite PlinRunner Стиль: #plinko
👨‍💻 Neon Tower Rush Стиль: #towerrush
🔥 Tower Crash Стиль: #towerrush
👨‍💻 Ice Fishing Стиль: #fish

🟡Объём блокировок — Средний.

#тренды

🖼️➡️ подписаться ▪️ чат ▪️ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Google решила упростить воронку регистрации в приложениях: благодаря новой функции "Подтверждённая электронная почта" больше не нужно открывать Gmail, чтобы подтвердить регистрацию. Работает на большинстве устройств с Android 9 и выше.
Одновременно с этим улучшить жизнь разработчикам решили и в Apple: там предлагают пользователям новый формат подписки, который позволяет оформить подписку в приложении, при этом оплачивая её частями в течение года, со скидкой. Такую подписку нельзя будет отменить, что позволит разработчикам повысить прогнозируемость доходов. Пока из-за юридических ограничений запуск этой функции исключает США и Сингапур.

👆 Неделя у Маска не задалась: он выступает в суде против руководства OpenAI, но его показания уже успели раскрыть неудобные подробности о xAI. Пока Маск пытался доказать, что OpenAI нарушила свою некоммерческую миссию, он рассказал, что его компания использовала дистилляцию моделей конкурента, чтобы копировать их данные — он заявил, что такой подход является "общей практикой" в индустрии. Иронично, что сам Маск судится из-за того, что Альтман и коллеги якобы обманули его, заставив финансировать организацию, которая вопреки их договорённостям стала ориентированной на прибыль.

👆 Украинские хакеры во главе с 19-летним подростком похитили 610 000 аккаунтов Roblox. Они распространяли инфостилеры под видом модов и похищали доступы к аккаунтам, которые часто представляют ценность сами по себе: на аккаунтах мог быть баланс, редкие предметы или оплаченный premium-доступ. По украинским законам, им грозит до 15 лет заключения.

👆 Активисты предупреждают об угрозе для открытого программного обеспечения в связи с программой регистрации пакетов и идентификации разработчиков в Google. Призывают подписать петицию и отказаться от верификации.

👆 Журналисты кратко изложили тот самый цикл статей о Keitaro на русском языке.


✏️ Интересное чтение на выходные: как ChatGPT показывает рекламу, что было до GitHub, бесплатные LLM API


✈ Топ приложений на радарах

🍩 Rustore для Android ~ 4 800 установок/день, 66 дней онлайн
🍩 Fruit Coctail ~ 1 800 установок/день, 28 дней онлайн. Стиль: #fruitcocktail
🍩 Zeus & Plinko ~ 2 000 установок/день, 16 дней онлайн. Стиль: #grece
🍩 Win & Jackpot ~ 1 400 установок/день, 57 дней онлайн. Стиль: #fruits
🍩 The Joker ~ 3 800 установок/день, 44 дня онлайн. Стиль: #joker
🍩 Sweet Candy ~ 1 000 установок/день, 22 дня онлайн. Стиль: #bonanza

🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 Icе Fishing Win Стиль: #fish
🔥 Tower Luck Стиль: #towerrush
🔫 Chicken Hold Road Стиль: #chicken
🦋 Clown Links Стиль: #joker
🔥 Chicken Drive Road Стиль: #chicken
🔫 Рlіnko Tap Стиль: #plinko

🟡Объём блокировок — Средний, усиливается.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Unity запускает AI-интеграцию: открытая бета-версия уже доступна бесплатно для всех желающих. В движке реализовали все необходимые скиллы, так что ИИ-агенты теперь могут без проблем ориентироваться в особенностях визуального редактора Unity. Gemini также помогает писать C#-код, ну а если хочется подключить своего агента, то доступен MCP-сервер.
Для нас, конечно, такая новинка особенно приятна, учитывая, что Google вообще неплохо относится к Unity-игрушкам.

👆 В Android-приложении Белого дома нашли много интересного: внедрение JavaScript и CSS, отслеживание местоположения по GPS и передача личных данных пользователей на сторону OneSignal. Кажется, в правительстве США изобрели WebView-приложения, с той разницей, что им-то никто не запретит 😅


✏️ Интересное чтение на выходные: HTTP-сервер на Raspberry Pi Zero, чекер отпечатка браузера с объяснениями и открытым кодом, скиллы для SEO и презентаций.


✈ Топ приложений на радарах

🍩 Fruit Coctail ~ 2 200 установок/день, 36 дней онлайн. Стиль: #fruitcocktail
🍩 Rustore для Android ~ 4 700 установок/день, 74 дня онлайн
🍩 Golden Egg Boom ~ 3 900 установок/день, 52 дня онлайн. Стиль: #chicken
🍩 Jokes Shadow ~ 1 000 установок/день, 32 дня онлайн. Стиль: #joker
🍩 Lucky Fortune's Match Gems ~ 1 000 установок/день, 37 дней онлайн. Стиль: #fortunegems
🍩 Bird Batch Manager ~ 1 000 установок/день, 67 дней онлайн. Стиль: #chicken

🔥 Лучшие приложения сервисов аренды (обозначения)

🦋 Clown Links Стиль: #joker
🔥 Icе Fishing Win Стиль: #fish
🔥 Tower Luck Стиль: #towerrush
🔫 Chicken Synk Road Стиль: #chicken
👨‍💻 Ice Fishing Стиль: #fish
👨‍💻 Crazy Time Стиль: #crazytime

🟡Объём блокировок — Средний, снижается.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Google внедрила сразу две новинки, усложняющие жизнь фармерам аккаунтов: требование отправки SMS при регистрации нового Gmail и необходимость аппаратной аттестации устройства при прохождении CAPTCHA. Завязанная на устройство проверка предполагает наличие свежих сервисов Google, так что первыми коллатеральными жертвами этого новшества становятся не только фармеры, но пользователи альтернативных прошивок.
Как они собираются это реализовывать на iOS — нужно будет установить приложение! В чатах уже пишут, что нововведения не затронули обычный флоу создания аккаунта при активации нового Android-устройства. То есть алгоритм обхода выглядит так: раздаём на чистое устройство мобильный IP и активируем девайс как обычно. Связано это, скорее всего, с традиционной для Гугла технической невозможностью подтянуть новые испытания на все старые трубки, но рано или поздно и это перестанет работать.
А, ну и чтобы жизнь мёдом не казалась, у аккаунтов без привязки телефона забрали 15 ГБ гугл-диска.

👆 Также корпорация добра продолжает раскатывать функции Gemini в Chrome. Фича оценки безопасности страниц, работающая на маленькой локальной модели, не могла работать без этой самой модели, ну а в мире LLM понятие "маленькая" весьма относительно. Инженеры (я напомню, их главного зовут Сундар Пичаи) недолго думая заставили Chrome по-тихому подкачать 4 ГБ-файл weights.bin на все поддерживаемые компьютерные ОС и это сразу же вызвало волну недовольства. Ещё бы: суммарный трафик всех пользователей Chrome мог бы обогревать небольшой город на протяжении года, а удалить эту штуку оказалось так же трудно, как и MailRu Агент. На Android, кстати, интеграцию тоже обновили.
Для нас, тем не менее, пока ничего нового: со всеми выкрученными на максимум настройками безопасности Chrome совершенно без проблем открывает PWA-ленды.

👆 Samsung будет автоматически блокировать надоедливые рекламные уведомления. Здесь нужно уточнить, что Samsung — не только один из самых популярных на нашем рынке (имею в виду, арбитражных приложений) производителей устройств, но и самый продвинутый в плане модификации Android. Их прошивка разительно отличается глубокой интеграцией приложений Samsung в систему, поэтому корейцам не составит труда завезти "Блокировку приложений с чрезмерной рекламой": ИИ будет анализировать содержимое уведомлений, и если они носят рекламный характер, то система автоматически будет переводить приложение в режим "deep sleep". В этом режиме приложение перестаёт беспокоить пользователя до тех пор, пока он не откроет его вручную. Вишенка на торте: пользователи Galaxy S26, скорее всего, уже получили обновление, так что функция у них уже работает.
Если вы рассылаете пуш-уведомления шесть раз в день — вам есть о чём задуматься.

✏️ Интересное чтение на выходные: история отказа от вайбкодинга, LLM очень хороши в стеганографии, в Steam стремительно растёт число игр на Godot

✈ Топ приложений на радарах

🍩 Rustore для Android ~ 4 600 установок/день, 80 дней онлайн
🍩 Mega Win Fruit ~ 1 400 установок/день, 12 дня онлайн. Стиль: #fruits
🍩 Fruit Coctail ~ 2 200 установок/день, 42 дня онлайн. Стиль: #fruitcocktail
🍩 Golden Gems ~ 1 500 установок/день, 51 день онлайн. Стиль: #aztec
🍩 Fortune Big Gems - Rush ~ 1 300 установок/день, 36 дней онлайн. Стиль: #aztec
🍩 Sweet Candy ~ 1 300 установок/день, 36 дней онлайн. Стиль: #bonanza

🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 Icе Fishing Win Стиль: #fish
🔥 Tower Luck Стиль: #towerrush
🦋 Clown Links Стиль: #joker
👨‍💻 Chicken Road Стиль: #chicken
🔥 Chicken Drive Road Стиль: #chicken
👨‍💻 Chicken Road Стиль: #chicken

🟡Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

🍩 Обновился каталог сервисов аренды: добавлен AdKey App, сделано несколько мелких дополнений. А ещё там есть пара статей, за которые не стыдно, например «"Органика" в арбитражных приложениях: бонус или шейв?». С точки зрения SEO, кстати, абсолютно провальный ресурс, Гугл с кайфом выкинул все страницы из индекса. В общем, заходите почитать, а для особо заинтересованных на сайте есть пара easter eggs.

👆 Главным событием недели, наверное, можно назвать Google I/O. Не буду тут перечислять надоевшие заголовки о новой (неудачной) модели 3.5 Flash и устаревшей ещё до выхода Omni. Куда важнее курс, взятый компанией: быстрое и радикальное внедрение ИИ в поиск. Настолько быстрое, что буквально пару часов назад, загуглив "disregard", вы попадали на ответ AI в стиле "как скажешь". Настолько радикальное, что в сообществе уже называют это революцией: сайты больше не представляют никакой ценности сами по себе, они стали просто сырьём для извлечения информации и отображения её в AI Overviews. От этого снижается посещаемость, да так, что некоторые почти закрылись уже сейчас.

ИИ в Google проник и в команду Chrome: те выпустили обновления, закрывающие больше 100 уязвимостей, тогда как обычно это число колеблется в районе десятков. Забавно, что нарисовать красивые числа спешили так сильно, что случайно опубликовали подробности незакрытой до сих пор уязвимости, связанной с фоновой работой Service Worker и позволяющей превратить любой браузер на основе Chromium в ячейку ботнета, особенно Edge.

Пока Гугл пытается встать у руля новой реальности, ленты профильных изданий пополняются новостями об Android-вредоносах. Специалисты HUMAN Security обнаружили сеть из 455 приложений на 183 C2-доменах, общий объём загрузок — 24 миллиона. Все эти опубликованные в Google Play приложения выступали в роли лазейки (поэтому кампанию назвали Trapdoor), открывающей двери для настоящего вредоноса. Суммарно ботнет генерировал до 659 миллионов мошеннических bid requests в день, а примечателен он тем, что использовал атрибуцию Adjust в качестве kill switch: вредоносная нагрузка не активировалась для органических установок.

В середине недели исследователи из Zimperium опубликовали отчёт о другой вредоносной кампании, направленной на жителей Малайзии, Таиланда, Румынии и Хорватии: 250 приложений подписывали пользователей из этих стран на платные сервисы. Кампания оставалась активной на протяжении 10 месяцев, приложения распространяли посредством рекламы на Facebook, TikTok и Google. Подписки выполнялись как при помощи SMS, так и через браузер, причём вредонос способен отключать Wi-Fi, перехватывать OTP-коды подтверждения и Cookies.

Подытожить тут хочется заголовком из нового для меня подкаста: початок кінця (точно невідомо, кінця чого, просто таке відчуття).

👆 Apple отчиталась, что в прошлом году в App Store заблокировали 193 тыс. аккаунтов разработчиков, а ещё 138 тыс. регистраций отклонили. Отклонили более 1.2 млн новых приложений и почти 800 тыс. обновлений. 59 тыс. приложений забанили за подмену содержимого и 22 тыс. — за скрытые функции.

✏️ Интересное чтение на выходные: удаление ИИ-вотермарок, где навайбкоженные Photoshop и Excel, сервер на 8-битном микроконтроллере

✈ Топ приложений на радарах

🍩 Farm Lab ~ 900 установок/день, 64 дня онлайн. Стиль: #chicken
🍩 Rustore для Android ~ 4 600 установок/день, 87 дней онлайн
🍩 Mega Win Fruit ~ 1 800 установок/день, 30 дней онлайн. Стиль: #fruits
🍩 Icey Fish 2 ~ 1 100 установок/день, 29 дней онлайн. Стиль: #fish
🍩 Icy Fishing ~ 1 100 установок/день, 18 дней онлайн. Стиль: #fish #wheel
🍩 Build Guard ~ 1 500 установок/день, 51 день онлайн. Стиль: #towerrush

🔥 Лучшие приложения сервисов аренды (обозначения)

🔫 Сhicken R𐍈ad Стиль: #chicken
👨‍💻 Chicken Road Стиль: #chicken
🔫 Aviator Lift Стиль: #aviator
🔥 Tower Luck Стиль: #towerrush
🔥 Icе Fishing Win Стиль: #fish
👨‍💻 Joker's Jewels Стиль: #joker

🟡Объём блокировок — Средний, не считая небольшого всплеска 20 мая.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Google Play будет оповещать пользователей об удалении приложений из магазина. Вообще-то они и сейчас это делают посредством Play Protect, но это касается только серьёзных угроз (читай: баны за malware). Анализ новых версий Play Store показал, что пользователи будут получать уведомления о прекращении поддержки или добровольном удалении программ разработчиками. Точные сроки запуска функции пока неизвестны, Google не выпускала заявлений на тему.

В то же время, специалисты ESET обнаружили новую вредоносную сетку из 28 приложений, в сумме собравшую 7.3 млн установок. Мошенники обещали доступ к журналам вызовов, текстовым сообщениям и даже истории звонков в мессенджере WhatsApp третьих лиц, но на самом деле приложения только подводили пользователя к оплате. Часть приложений полагалась на Google Play биллинг, тогда как другие поддерживали индийскую платёжную систему UPI. В отдельных случаях форма для ввода данных банковской карты была встроена прямо в приложение. В результате вместо реальных данных клиенты получали случайным образом сгенерированные отчёты.

Также Google включила для Workspace, Workspace Individual и личных аккаунтов Google функцию Chrome Device Bound Session Credentials — протокол, использующий криптографический чип компьютера для привязки сессионных cookie на удалённом сервере. Таким образом перенос cookie требует и переноса секретного ключа, связанного с сессией. Это заметно усложняет жизнь инфостилерам, а вот антидетект-браузеры наверняка реализуют (или уже реализовали) эмуляцию TPM/Secure Enclave-чипа с сохранением секретных ключей.

👆 Полиция Нидерландов ликвидировала ботнет, состоящий из 17 миллионов заражённых устройств. По данным СМИ, сеть связана с российским сервисом ASOCKS, предлагавшим услуги резидентных прокси. Операция началась после сообщения независимого исследователя, что позволило полиции конфисковать серверы у местного хостинг-провайдера. Ранее исследователи находили другие ботнеты ASOCKS, один из которых состоял из 190 тыс. Android-устройств.

👆 Cloudflare выпустила решение для управления feature-флагами. Flagship легко интегрируется в Workers или посредством OpenFeature SDK в приложения на Kotlin, Swift, Java, JavaScript и других языках. В общем, если вам вдруг нужно что-то подёргать удалённо в своих приложениях, то теперь есть новый легальный способ. Ну, вдруг.

👆 Предустановленное Motorola приложение Smart Feed стало внедрять реферальные коды в ссылки на Amazon: отладка показала, что приложение направляет трафик через специальную рекламную площадку — devicenative.com. Motorola заявила, что поведение было непреднамеренным и уже исправлено. Журналисты считают, что ошибка могла возникнуть на стороне рекламной системы, или же компания решила подзаработать на партнёрских ссылках.

👆 В APK-файле Telegram из APKPure нашли класс DataCollector, которого нет в оригинальном приложении. Отправить приложение в APKPure может любой пользователь, так что APKPure не очень-то и Pure. Модификация сливает всевозможные данные на чей-то сервер в Гонконге, семпл тут.

✏️ Интересное чтение на выходные: обзор протокола MTProto, AI-фреймворк тестирования приложений, почему ANY не возвращает все типы записей, попытка залатать дыры при помощи AI

✈ Топ приложений на радарах

🍩 Lucky Fortune's Match Gems ~ 1 800 установок/день, 57 дней онлайн. Стиль: #aztec
🍩 Big Win Slots ~ 1 600 установок/день, 32 дня онлайн. Стиль: #sevens
🍩 Icy Fishing ~ 1 200 установок/день, 29 дней онлайн. Стиль: #fish #wheel
🍩 Lucky's Vegas 777Slots ~ 1 400 установок/день, 38 дней онлайн. Стиль: #sevens
🍩 Lucky Clover Land ~ 1 000 установок/день, 65 дней онлайн. Стиль: #leprechaun
🍩 Icey Fish 2 ~ 1 300 установок/день, 36 дней онлайн. Стиль: #fish

🔥 Лучшие приложения сервисов аренды (обозначения)

👨‍💻 Joker's Jewels Стиль: #joker
🔫 Ice Pulse Стиль: #fish
👨‍💻 Chicken Road Стиль: #chicken
🔫 Aviator Lift Стиль: #aviator
🔫 Big Win Стиль: #wheel
🦋 Sliced Fruits Стиль: #fruits

🟢Объём блокировок — Низкий.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

🍩 Читайте обзор нового кабинета Banda Apps. Клоунов вы, конечно, навалили — моё почтение. Пойдите ещё поставьте, кто не поставил 😅

👆 Google решила покупать исходники Android-приложений. В рамках "конфиденциальной" программы компания предлагает разработчикам продать "рабочую кодовую базу или архивные прототипы", чтобы помочь "улучшать продукты и инструменты разработчиков". Журналисты предполагают, что речь идёт о материале для обучения ИИ: код, написанный людьми, часто используется в тренировке моделей.

Технически, несмотря на то что единственной пригодной для Android-разработки IDE — Android Studio — управляет Google, код приложений закрыт даже от них. Несмотря на непрекращающиеся попытки перенести разработку в облачную среду, компания, похоже, решила ускорить процесс за счёт денег. Разумный ход, учитывая счета за дата-центры, стоимость кода будет казаться копеечной. Глядишь, и Gemini поумнеет (я в это не верю).

Умный AI им бы не помешал, чтобы нейтрализовать новый троян, умудряющийся в обход всех ограничений операционной системы показывать на захваченных устройствах рекламу. Специалисты Dr.Web выяснили, что, пользуясь особенностями прошивок Xiaomi, Vivo и Amazon Fire TV, вредонос обходит ограничения современной версии ОС, чтобы получить доступ к работе в фоне.

Также компании пришлось реализовать возможность исключения веб-сайта из AI-поиска — всё благодаря британскому регулятору. Фичу пока тестируют, но скоро должна появиться в Search Console вместе с отчётами на тему. Однако тема для нытья по поводу захвата интернета ботами остаётся актуальной: во-первых, ботовый трафик, по данным Cloudflare, превзошёл по объёму человеческий, а во-вторых, Google решила, что в Chrome обычный поиск больше не нужен — вместо него сразу открывался ИИ-режим. Правда, потом аж целый VP пришёл и сказал, что это была ошибка. Ага, но коммит был не случайный.

👆 Anthropic подала форму S-1 — собираются выходить на IPO. Ну и, я думаю, вы знаете, кто тут ещё собрался на IPO — печально известная Moloco, одним махом забанившая на этой неделе всех поставщиков агентских кабов. И раз уж мы начали тут про IPO, то Liftoff уже вышла на биржу с оценкой 3.83 млрд долларов.

👆 AI-бот Meta предоставлял доступ к аккаунтам Instagram всем желающим: достаточно было включить VPN и попросить его заменить почту, привязанную к аккаунту. Вроде как таким образом даже аккаунт Белого дома времён Обамы угнали.

👆 Apple удалила нацмессенджер Max из App Store, сославшись на санкции, без конкретики. Учитывая, что компания смиренно удаляет VPN-приложения по запросу российского регулятора, создаётся впечатление попытки усидеть на двух стульях.

✏️ Интересное чтение на выходные: 1500$ и 10 уязвимостей для AI, Gemini в качестве подельника

✈ Топ приложений на радарах

🍩 Lucky's Vegas 777Slots ~ 2 600 установок/день, 45 дней онлайн. Стиль: #sevens
🍩 Lucky Fortune's Match Gems ~ 2 500 установок/день, 64 дня онлайн. Стиль: #aztec
🍩 Lucky Clover Land ~ 1 500 установок/день, 72 дня онлайн. Стиль: #leprechaun
🍩 Fishing Rush ~ 1 500 установок/день, 25 дней онлайн. Стиль: #fish
🍩 Ice Fishing 2 ~ 1 500 установок/день, 36 дней онлайн. Стиль: #fish
🍩 Icy Fishing ~ 1 400 установок/день, 32 дней онлайн. Стиль: #fish #wheel

🔥 Лучшие приложения сервисов аренды (обозначения)

🔫 Ice Pulse Стиль: #fish
🔫 Chicken Road Стиль: #chicken
🔫 Big Win Стиль: #wheel
🤐 Chicken Way Road Стиль: #chicken
👨‍💻 Chicken Road Стиль: #chicken
🔫 Aviator Lift Стиль: #aviator

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Вслед за Max из App Store удалили приложения Mail ru — ВКонтакте, Одноклассники, Дзен, Видео, Музыка и другие оказались недоступны во исполнение американских санкций. Более того, крупнейшие удостоверяющие центры (CA) GlobalSign и Let's Encrypt прекратили выдачу и продление SSL-сертификатов для подсанкционных организаций. Кроме того, GlobalSign отзывает ранее выданные сертификаты, что ставит под угрозу в первую очередь государственные сервисы РФ и связанные с ними организации, например, Mir Pay или ту же Mail ru.
Разумеется, в РФ есть свои CA, однако их корневые сертификаты не входят в стандартные доверенные хранилища — внесение корневого сертификата CA в системное хранилище означает возможность прослушивания трафика (MitM).
Одним словом, то, что должно было случиться ещё в 2014 году, таки наступило, хоть и со значительным опозданием. Все эти изменения, конечно, не могут не быть политически мотивированными, однако не думаю, что кто-то, кроме рядовых пользователей, серьёзно пострадает от таких неспешных мер. VK и многие другие, кстати, перешли на сертификаты греческого академического удостоверяющего центра HARICA, который на данный момент не присоединился к ограничениям.

👆 Александр Слобоженко вернулся на пост CEO (Traffic) Devils, сменив Александра Кулагина (aka AKULA). Казалось бы, только в декабре Кулагина представили широкой публике, да и вообще это уже вторая попытка Саши руководить TD — должен был удержаться, тем более что их сотрудничество началось аж в 2019 году. Но что-то опять пошло не так и, думаю, это явно не входило в планы, хотя в LinkedIn Саша и заверил, что достиг всех своих целей и просто уходит на покой.

👆 С 30 июня Google Play переходит к новой модели комиссий, разделяя сервисный (минимум 10%) и биллинговый сборы (отсутствует, если разработчик использует стороннюю систему оплаты). Разработчики смогут интегрировать сторонние платёжные системы внутри приложения: разрешается как размещение ссылок на веб-формы, так и встраивание платёжек прямо в экраны. Разработчикам высококачественных приложений обещают льготные тарифные сетки.
Изменения будут разворачивать постепенно, начиная с ЕЭЗ, США и Великобритании. Всё это — последствия мировой в судебной тяжбе с Epic Games.

👆 AppsFlyer не вышла на IPO — вместо этого Google, Unity, Meta и Moloco приобрели миноритарные доли в компании, что позволило привлечь свыше 1 млрд долларов инвестиций. По словам генерального директора, AppsFlyer сохранила независимость и не предоставила никаких преференций инвесторам. Компания собирается потратить деньги на развитие своих инструментов, в том числе тех, что работают на основе AI.
Мой последний опыт с AppsFlyer — исключительно негативный: все "улучшения" в интерфейсах и в отношениях с клиентами это полный кошмар.

👆 AppLovin впервые за 14 лет открыла доступ к рекламной платформе для всех рекламодателей, отменив требование о наличии прямых отношений с компанией. Рекламодатели могут работать с AppLovin Ads в режиме self-serve, самостоятельно управляя своими кампаниями и выбирая одну из трёх моделей закупки.

✏️ Интересное чтение на выходные: обновление OWASP MASTG, распространение вредоноса через клоны репозиториев, не .gitignore единым

✈ Топ приложений на радарах

🍩 Dungeon Adventures ~ 2 100 установок/день, 39 дней онлайн. Стиль: #chicken
🍩 Lucky's Vegas 777Slots ~ 3 200 установок/день, 66 дней онлайн. Стиль: #sevens
🍩 Savanna Goal Spin ~ 1 100 установок/день, 37 дней онлайн. #betting
🍩 Fishing Rush ~ 1 800 установок/день, 46 дней онлайн. Стиль: #fish
🍩 Fortune Time – Gem Adventure ~ 1 700 установок/день, 49 дней онлайн. Стиль: #aztec
🍩 Fortune Lucky Gems ~ 1 600 установок/день, 36 дней онлайн. Стиль: #aztec


🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 The Fruits Boom Стиль: #fruits #wheel #sevens
👨‍💻 Chicken Road Стиль: #chicken
🔫 Bіg Wіn Стиль: #wheel
🦆 Bonzberry Blast Стиль: #bonanza
🔥 Ice Catch Fishing Стиль: #fish
🔥 Icie Fishing Стиль: #fish #wheel


🟢 Объём блокировок — Низкий.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Член совета директоров F-Droid Marc Prud'hommeaux снова выступил с заявлением, на этот раз открыто называя вредоносным "Android Developer Verifier" — компонент, который будет реализовывать политику Google в отношении приложений от неверифицированных разработчиков. Он раскритиковал программу проверки разработчиков, указав, что корпорация выбрала путь централизованной регистрации в Android Developer Console не случайно, хотя были и другие способы реализовать модель безопасности экосистемы. Марк считает, что таким образом Google убивает двух зайцев: монополизирует некогда открытую экосистему и формально выполняет требование ЕС о сторонних магазинах приложений.
У F-Droid нет ответа, что произойдёт с приложениями незарегистрированных разработчиков, включая клиент F-Droid и приложения из его репозитория, но, вероятно, они перестанут запускаться.

Активация программы контроля разработчиков начнётся 30 сентября в Бразилии, Индонезии, Сингапуре и Таиланде, а впоследствии станет обязательной по всему миру. Заявление, видимо, приурочено не к этой дате, а к тому, что на днях Суд ЕС окончательно оставил в силе антимонопольный штраф в размере более 4 миллиардов евро за злоупотребление доминирующим положением в экосистеме Android: компания требовала предустанавливать Google Search и Chrome для лицензирования Play Store, что, по мнению суда, способствовало укреплению позиций поисковой системы Google.

👆 Instagram начал использовать фотографии пользователей в рекламе очков Meta. Фото именно ваших контактов появляются на объявлениях для создания более персонализированной рекламы. В целом ничего нового: Facebook делал это годами, а LinkedIn начал несколько месяцев назад.

👆 Если вы работаете с Telegram и по какой-то причине всё ещё используете один из форков заброшенного Pyrogram, то проверьте, какой именно: специалисты Checkmarx обнаружили на PyPI 8 пакетов, заражённых вредоносом, который давал атакующим полный удалённый доступ к серверам с заражёнными ботами. Вредоносный код всё ещё без проблем находится на GitHub (архив) и, глядя на него, можно заключить, что сумрачный индонезийский гений создал его не без помощи вайбкодинга.

👆 ФБР совместно с Google и другими компаниями продолжает блокировать работу израильского ботнета со смешным названием Popa. На этот раз изъяли домен NetNut.com — работу сети тесно связывают с резидентскими прокси. Впрочем, .io продолжает открываться.

👆 По моим собственным наблюдениям, в генератор изображений ChatGPT завезли прозрачность, но тест со стаканом он всё равно проваливает.

✏️ Интересное чтение на выходные: ATS ставит вашему резюме случайные оценки; заставьте ботов платить за посещение сайтов; мы — последние, кто знает, как это работало

✈ Топ приложений на радарах

🍩 Dungeon Adventures ~ 2 700 установок/день, 46 дней онлайн. Стиль: #chicken
🍩 Savanna Goal Spin ~ 1 600 установок/день, 44 дня онлайн. #betting
🍩 Lucky's Vegas 777Slots ~ 3 200 установок/день, 73 дня онлайн. Стиль: #sevens
🍩 Fortune Lucky Gems ~ 1 800 установок/день, 43 дня онлайн. Стиль: #aztec
🍩 Fishing Rush ~ 2 000 установок/день, 53 дня онлайн. Стиль: #fish
🍩 Fortune Time – Gem Adventure ~ 1 800 установок/день, 56 дней онлайн. Стиль: #aztec


🔥 Лучшие приложения сервисов аренды (обозначения)

🦆 Sugar Bombanza Стиль: #bonanza
🔥 The Fruits Boom Стиль: #fruits #wheel #sevens
🤐 Crush Tower Build Стиль: #towerrush
👨‍💻 Joker's Jewels Стиль: #joker
🔥 Royal Fruit Стиль: #fruits
🦆 Jesteri Kesstr Стиль: #joker #wheel


🟢 Объём блокировок — Низкий.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Каким резидентным прокси доверяют разработчики Suno? Ответ есть: Bright Data (бывшая Luminati, читайте в этом посте). Об этом стало известно в результате утечки исходного кода. Хакер, скрывающийся под ником ellie.191, поделился с 404 Media информацией о взломе, который произошёл ещё в ноябре 2025 года. Suno умолчала об инциденте, но хакер раскрыл, что среди исходных кодов обнаружились инструменты для скрейпинга и доказательства, что компания активно применяла краденые данные для обучения: почти 114 тысяч часов музыки с YouTube Music, данные с Genius, Deezer, Jamendo и других площадок. Для сбора аудио с YouTube разработчики как раз и использовали прокси. Вывод: хотите быть как Suno — берите Bright Data (не финансовая рекомендация).

👆 Программа обязательной верификации разработчиков Google не такая уж обязательная. В строгих правилах нашлось важное уточнение: новые меры безопасности не распространяются на пользователей из подсанкционных стран. Будем заливать APK на Кубу, Иран и Северную Корею?

Коллег из более благополучных стран, наверное, заинтересует реально крутая возможность: новая программа Google Play Catalog Access — API для Google Play, позволяющее получить доступ к данным каталога прямо на Cloud Storage. Своим появлением эта программа обязана всё тому же знаменитому разбирательству с Epic Games, так что предназначена она для аккредитованных независимых сторов приложений и с 22 июля начнёт работу в США. По требованиям, стор должен не только сам предотвращать распространение вредоносного ПО, но и проходить регулярные проверки Google. За такие блага корпорация добра взимает ежегодный сбор — 5 000 долларов, зато обещает доступ к данным в реальном времени и удобные инструменты для инициации установки на устройстве через Play Services — качать APK сомнительными способами не придётся.

Зато качать APK придётся пользователям из РФ: для них, видимо, это остаётся последним способом установить заблокированные из-за санкций MAX, VK, Одноклассники и другие приложения холдинга Mail․ru. Можно было бы сказать, что официальным способом установки станет RuStore, в спешке проданный VK своему гендиректору, но не думаю, что Google подпишет RuStore доступ к каталогу.

Также Google выкатила скилл для анализа исходного кода проекта на предмет соответствия правилам Google Play. Из интересного, там есть официальный скрипт для скрейпинга данных со страничек Google Play, можно подсмотреть, на что обращает внимание модерация, но каких-то суперинсайдов не видно.

✏️ Интересное чтение на выходные: шрифт с секретом, AI делает музыкальные клипы в ограниченном бюджете, Firefox на WebAssembly, загадка ДЦ Telegram


✈ Топ приложений на радарах

🍩 Swift Number Quest ~ 5 400 установок/день, 34 дня онлайн. Стиль: #light
🍩 Cluck & Road King ~ 1 700 установок/день, 66 дней онлайн. Стиль: #chicken
🍩 Fishing Rush ~ 2 200 установок/день, 67 дней онлайн. Стиль: #fish
🍩 Rush of Towers ~ 1 500 установок/день, 79 дней онлайн. Стиль: #towerrush
🍩 Chicken Hatch ~ 600 установок/день, 48 дней онлайн. Стиль: #chicken
🍩 Fortune Lucky Gems ~ 2 100 установок/день, 57 дней онлайн. Стиль: #aztec

🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 VIP Joker Стиль: #joker #fruits
🔥 Ice Catch Fishing Стиль: #fish
🤐 Crush Tower Build Стиль: #towerrush
🔫 T0wer Rush Стиль: #towerrush
🦆 Scarab Curse Стиль: #egypt
🔱 Tower Blaaze Стиль: #towerrush

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю (2/2)

👆 Apliteni (Keitaro) опять вляпалась в расследование. Наверное, только ленивый не написал об изменении пользовательского соглашения, и что передаются названия кампаний, и что блокировки аккаунтов будут без возврата денег, но тут всплыло ещё одно важное обстоятельство: специалисты Infoblox раскрыли многолетнюю связь трекера с мошенническими кампаниями Help TDS, Hotejka, ROI777. Всего обнаружено более 20 тыс. Cloudflare Pages, ежедневно добавлялось около 300 штук. Смысл скама заключался в перенаправлении пользователей на поддельные страницы технической поддержки с целью заставить жертв позвонить в мошеннические колл-центры, и ключевое место в этой цепочке занимал Keitaro, послуживший основой для собственного решения "Help TDS".

👆 Атака на цепочку поставок поразила аппаратные кошельки Ledger — ориентировочные потери составляют $100 млн. Преступники встраивали в устройства перехватчик, считывающий seed-фразу и отправляющий её при помощи встроенной eSIM и LTE-модуля. Обнаруженные закладки показывают прогресс в качестве исполнения и широкую географию распространения, также обнаружено, что проблема встречается не только у Ledger.
Одновременно с этим у Марии Дорвей увели крипту прямо из её кошельков на iPhone. И хотя цпарип, на мой взгляд, поспешил связывать кражу с недавно раскрытыми эксплойт-китами Coruna/DarkSword, но сейчас появился другой хороший аргумент в пользу похожего объяснения: впервые за долгие годы был продемонстрирован отвязанный jailbreak для современной iOS 27.0.1 на iPhone 18 Pro.

👆 Cloudflare проверила так сильно рекламируемое падение трафика "трёхрублёвых ботов", связываемое с выходом из строя дата-центров "Яндекса". В общем, это неправда: объём трафика действительно значительно упал, но принадлежит он не рупору пропаганды, а обычным поисковым паукам. Вредоносный же трафик, по их словам, просто переехал на другие мощности, но компания, конечно, не способна выделить тех самых кремлеботов — да и было бы странно, если бы они использовали адреса дата-центров.
Словно в ответ на кинетический удар по Яндексу, неизвестные подожгли сперва наземную станцию Starlink в Польше, а затем и в Болгарии.

👆 Jev получила мультимодальность в бета-версии. Теперь модель может не только принимать на вход изображения вместо текста, но и обнаруживать объекты на них, а также анализировать картинки визуально. Ждём появления ещё большего числа спай-тулов с поддержкой классификации креативов 😀️️️️️️

✏️ Интересное чтение на выходные: GTA 2 перенесли в браузер (да и GTA 5 тоже — спасибо, Opus 5.5), сотрудник OpenAI посоветовался с моделью и установил в офисе жучок, CERT-FR рапортует о взломе холодильников в примерно 700 магазинах (хакеры испортили продукты на миллионы евро)


✈ Топ приложений на радарах

🍩 Joker Jewel ~ 4 800 уст./д., 86 д. онлайн.
🍩 Crystal Beam Wheel ~ 4 000 уст./д., 37 д. онлайн.
🍩 Energy Coins ~ 700 уст./д., 79 д. онлайн.
🍩 Jungle Wheel ~ 6 300 уст./д., 44 д. онлайн.
🍩 Sugar Sweep Home Chores ~ 3 800 уст./д., 37 д. онлайн.
🍩 Masquerade Jester ~ 5 300 уст./д., 44 д. онлайн.

🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 Tower Dash Стиль: #towerrush
😈 Ice Fishing Стиль: #fish
😈 Farmyard Sprint Стиль: #chicken
🔫 Jоkеr’s Jеwеls Стиль: #joker
🦆 Desert Expedition Стиль: #egypt
🔫 Chiсken Rоаd Стиль: #chicken


🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды