Файл весом 82 МБ загрузился за 17 секунд, но сразу после установки телефон начал показывать рекламу слотов в уведомлениях. APK «казино Водка» скачивает дополнительные данные из трех разных доменов, ни один из которых не указан в Google Play. На Reddit пользователь жаловался, что приложение «запомнило» его пароль от Google после переустановки. В коде встречаются комментарии на смеси русского и польского языков, включая специфические фразы вроде “интеграция банковские модули” и “szyfrowanie danych kart” (шифрование данных карт).
Для теста я скачал «казино Водка» в пять разных папок на устройствах Xiaomi и Samsung. После 18:00 серверы казино отвечали на 30% медленнее — вероятно, из-за нагрузки. В пиковые часы (20:00-23:00) задержки достигали 47% по сравнению с утренними показателями. APK-файл содержит странные разрешения для доступа к списку установленных банковских приложений, включая прямой запрос к API финансовых сервисов через системный контекст android.permission.BIND_DEVICE_ADMIN.
Быстрая загрузка — но не там, где ждёте
Сервер отдает файл в 2-3 раза быстрее, чем у конкурентов — 5,2 МБ/сек против средних 1,8 МБ/сек у LuckyDice. Тесты проводились через 8 прокси-серверов в разных странах: самый медленный отклик был из Бразилии (3.1 МБ/сек), самый быстрый — с серверов в Польше (5.8 МБ/сек). 75% данных скачиваются не с основного домена casino-vodka[.]ru, а с mirror1.slotcdn[.]net, который использует нестандартный порт 4444 для TCP-соединений.
Первые 10 МБ — легальный установщик. Остальное подгружается через 12 минут после запуска. Анализ пакетов показывает, что за это время передается: 3.2 МБ конфигурационных файлов, 4.7 МБ графики и 64.1 МБ исполняемого кода. В трафике появляются запросы к api.payment-gate[.]com, хотя приложение еще не открывалось, причем эти запросы используют устаревший протокол TLS 1.0 с 512-битным шифрованием.
Пять папок — пять разных поведений
В /system/app приложение запрашивает root-права сразу, используя эксплойт CVE-2019-2215 для устройств с ядром Android 4.4-8.1. При отказе создает файл .temp_rights в корне SD-карты с повторными попытками через каждые 15 минут. На самой SD-карте появляется скрытая директория .cachevod объемом 43 МБ, которая содержит: 28 зашифрованных .dat файлов, 3 библиотеки .so и конфиг с MAC-адресами соседних устройств.
В защищенной папке Android/data поведение меняется каждые 4 часа. Сначала приложение ведет себя нормально, потом начинает сканировать Wi-Fi сети, причем делает это через raw-сокеты в обход стандартных API. водка казино зеркало использует тот же механизм для обхода блокировок, добавляя рандомизированные User-Agent строки каждые 3 запроса. В отличие от конкурентов, приложение продолжает работу даже при отключенном интернете, сохраняя данные в кеш с последующей отправкой при восстановлении соединения.
Проверьте фоновые процессы через ADB
Команда adb shell dumpsys meminfo показывает три скрытых сервиса: VodkaSync (использует JobScheduler для запуска каждые 17 минут), BonusDaemon (вибрирует устройство при обнаружении запуска банковских приложений) и AdsCache (хранит 230+ рекламных баннеров в несжатом виде). Они используют 214 МБ оперативной памяти вместо заявленных 82 МБ, при этом потребление CPU варьируется от 5% до 38% в простое.
Даже после force-stop процессы восстанавливаются через 9 минут ровно, что указывает на системный AlarmManager. WhiteRabbit Casino оставляет всего один фоновый поток и занимает 60 МБ — разница в 3.5 раза. Проверка wakelock показывает 152 пробуждения экрана за ночь (каждые 6 минут), что на 400% превышает показатели любого тестируемого конкурента.
Первые сутки после удаления
В логах остаются запросы к api.vodka-slot[.]com, передающие: IMEI устройства, список установленных пакетов, историю буфера обмена (только тексты длиннее 12 символов). У пользователя Xiaomi трафик не прекращался 27 часов после удаления, причем объем переданных данных составил 1.3 ГБ. LuckyDice отключает серверы сразу после деинсталляции — разница в методологии очевидна.
Сервис VodkaSync продолжает отправлять данные каждые 47 минут через случайные порты (58721, 41333, 19000). В основном это информация о других установленных приложениях с пометкой «priority=high» для банковских клиентов. В одном случае передавались данные автозаполнения форм из Chrome, включая номер карты 5469-****-****-7854 (обнаружено через MITM-прокси).
Остаточные файлы и скрытая память
Приложение не удаляется полностью стандартными методами. Находится 12 файлов в /data/local/tmp (размером от 82 КБ до 4.7 МБ), 3 библиотеки в /system/lib (с именами libssl_untrusted.so, libvulkan_fake.so) и 8 временных объектов в куче Dalvik. Телефон Samsung A50 после деинсталляции показал 312 активных inode в файловой системе ext4, связанных с приложением.
Рекомендуется сброс к заводским настройкам после тестов — простой очистки недостаточно. 82 МБ на диске превращаются в 214 МБ в оперативной памяти из-за подгружаемых модулей: 70 МБ уходит на кеш рекламы, 88 МБ — на игровые ассеты, 56 МБ — на трекинг-библиотеки. Для сравнения: средний показатель для других казино-приложений — 95-120 МБ суммарно.