Что обнаружили исследователи
Авторы исследования пишут, что российский магазин приложений RuStore может незаметно инициировать «тихую» установку приложений, в том числе мессенджера Max, без отображения запросов и уведомлений для пользователя.
Ключевые выводы
- Тихие установки: магазин способен устанавливать новые приложения без явного согласия и уведомлений пользователя.
- Отслеживание местоположения: RuStore регулярно фиксирует координаты, в том числе по сети, сотовым вышкам и MAC‑адресу роутера — это позволяет определять геопозицию даже при выключенном GPS.
- Сбор данных о приложениях: с сервера отправляется «полный слепок» устройства: какие VPN, банковские и защищённые мессенджеры или сторонние магазины установлены, а также частота и длительность их использования; этот набор данных привязывается к аппаратному ID смартфона.
- Мониторинг галереи: встроенный Kaspersky SDK сканирует папки DCIM и Pictures, где лежат личные фотографии.
- Невозможность убрать след: если выводы верны, уже отправленный «слепок» устройства нельзя удалить — он привязан к ID устройства.
Исследователи отмечают, что сочетание таких методов выглядит как необоснованная слежка за активностью пользователя и указывает на архитектурные ошибки в реализации магазина.
Как отключить RuStore на Android
Авторы исследования рекомендуют временно включить режим отладки по USB и выполнить команды Android Debug Bridge на компьютере с установленными Android Platform Tools. После выполнения команд режим отладки нужно выключить.
adb devices
adb shell pm disable‑user --user 0 ru.vk.store
Дополнительный контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в РФ. Также с сентября прошлого года правительство обязало предустанавливать мессенджер Max.
