Na pierwszy rzut oka Viefur to kolejna aplikacja do generowania „portretów zwierząt”. Za kilka dolarów w żetonach można zamienić zdjęcie psa lub chomika w antropomorficzną postać w kąpielówkach i okularach przeciwsłonecznych, sączącą drinka z kokosa. Wystarczy jednak kilka kliknięć w innych warunkach, by ta sama aplikacja odsłoniła zupełnie inne oblicze: interfejs do tworzenia jawnie seksualnych obrazów i filmów z wykorzystaniem zdjęć wgranych przez użytkownika.

Według śledztwa WIRED Viefur nie jest wyjątkiem, lecz elementem rozległej sieci ponad 400 powiązanych domen i aplikacji. Wiele z nich reklamuje się jako codzienne narzędzia, kursy językowe, trenerzy fitness opartymi na AI, generatory obrazków. Po spełnieniu określonych warunków potajemnie ładują one ukrytą warstwę webową z szablonami scen typu „rape in bedroom” czy „threatening knife”, w których mężczyzna trzyma nóż przy szyi kobiety. To nie estetyka slopu, lecz gotowe narzędzie do produkcji materiałów o charakterze przemocy seksualnej.

Sieć wyszła na jaw przypadkiem, badacze prześledzili linki z tysięcy reklam wideo z jawnymi deepfake'ami publikowanych na Facebooku i Instagramie. Jak WIRED informował wcześniej, część tych reklam zawierała materiały przedstawiające seksualne wykorzystanie dzieci, w tym wizerunki realnych dzieci i osoby z europejskiej rodziny królewskiej. Reklamy docierały do dziesiątek tysięcy odbiorców i wywołały postępowania regulatorów na całym świecie. Każda z nich prowadziła do aplikacji dostępnych w sklepach Apple i Google, z możliwością płacenia przez Apple Pay i Google Pay.

Mechanizm działania opisuje Paul Bouchaud z organizacji AI Forensics, który zreversował kod aplikacji. Przy każdym uruchomieniu aplikacja wysyła na serwer informacje o lokalizacji, języku i unikalnym identyfikatorze użytkownika, a serwer decyduje, czy pokazać wersję „grzeczną”, czy jawną. Jednym z wyzwalaczy jest najwyraźniej wejście do aplikacji po kliknięciu powiązanej reklamy na platformach Meta. Strony internetowe sieci przy otwarciu wyświetlają czarny ekran, a jedynym widocznym śladem jest dopisek „risk” w adresie URL, pod spodem kryje się jednak cały panel z dziesiątkami szablonów deepfake'ów i możliwością kupowania „diamentów”.

W kodzie JavaScript badacze znaleźli listę konfiguracyjną wszystkich domen, kluczy szyfrujących i trackerów reklamowych Facebooka. Maël Le Touz z firmy Infoblox naliczył blisko 500 powiązanych domen działających na tym samym kodzie i odwołujących się wzajemnie do siebie. Według analizy Bouchauda aplikacje zaczęły pojawiać się pod koniec 2025 roku, a wiosną tego roku rejestrowano ich nawet około 30 tygodniowo. W samym Google Play we wrześniu działało 27 z nich, łącznie pobranych ponad 350 tysięcy razy, wiele oznaczonych jako odpowiednie dla wszystkich grup wiekowych. Popularna aplikacja DiffAI miała ponad 100 tysięcy pobrań, a w recenzji w sklepie wprost napisano, że zawiera szablony do tworzenia materiałów CSAM i nie weryfikuje wieku użytkowników.

Za siecią stoją według badaczy chińskojęzyczni deweloperzy oraz zarejestrowana w Hongkongu spółka KeLing Technology Limited. Kod pisany jest po chińsku, hostowanie jest wyłącznie chińskie, a reklamy wideo noszą znaki wodne chińskiego oprogramowania do montażu. Reklamy publikowano z kont o bezsensownych nazwach i zerowej liczbie obserwujących. Po kontakcie WIRED powiązania firmy z narzędziami zaczęły znikać z sieci. Apple usunął 19 aplikacji, w tym Viefur, tłumacząc, że deweloperzy po zatwierdzeniu podmienili adres, z którego aplikacja pobiera treści, i zapowiedział zaostrzenie zasad. Google usunął większość aplikacji jeszcze przed pytaniem redakcji. Meta nie odpowiedziała na prośbę o komentarz, a badacze i organizacje strażnicze pytają, gdzie trafiają pieniądze z tej działalności i dlaczego moderacja wciąż daje się tak łatwo obejść.

Podsumowanie: Sprawa pokazuje, że problem deepfake'ów nie tkwi już wyłącznie w wyspecjalizowanych „nudify” serwisach, lecz przeniknął do zwyczajnie wyglądających aplikacji w oficjalnych sklepach. Model „bait-and-switch”, anonimowe konta reklamowe i rozproszona infrastruktura domen sprawiają, że pojedyncze usunięcie aplikacji nie zatrzymuje procederu, potrzebne są skoordynowane działania sklepów, platform reklamowych i regulatorów.