Кратко
В исследовании говорится, что российский магазин приложений RuStore может тихо устанавливать приложения, собирать подробные данные о поведении устройств и просматривать директории с фотографиями.
Ключевые выводы
- Скрытая установка: магазин способен инициировать «тихую» установку приложений без отображения запросов и уведомлений пользователю.
- Отслеживание местоположения: RuStore фиксирует координаты не только через GPS, но и по сети, сотовым вышкам и MAC‑адресу роутера.
- Слежка за приложениями: на сервер отправляется «слепок» устройства — список используемых VPN, банковских приложений, защищённых мессенджеров и сторонних магазинов, привязанный к аппаратному ID.
- Мониторинг галереи: встроенный SDK ведёт постоянный мониторинг директорий DCIM и Pictures, где хранятся личные фотографии.
- Цифровой отпечаток необратим: если слепок уже отправлен и привязан к ID устройства, удалить эти данные практически невозможно.
Подробности
Скрытая установка позволяет магазину разворачивать новые приложения без явного согласия пользователя: не показываются уведомления и диалоги установки. По мнению исследователя, именно так мог быть установлен мессенджер Max на устройства пользователей.
Местоположение определяется комплексно: помимо спутникового GPS используются данные сети, сотовых вышек и MAC‑адреса точки доступа. Такой набор достаточно для точного геопозиционирования даже при отключённом GPS.
При мониторинге приложений магазин регулярно отправляет на сервер подробную сводку установленного софта и привязывает её к аппаратному идентификатору телефона, а также фиксирует частоту и длительность запусков приложений.
Анализ кода показал, что внутри приложения используется сторонний антивирусный SDK, который постоянно сканирует директории с фотографиями пользователя, что повышает риск утечки личных изображений.
Можно ли удалить данные и как отключить RuStore
Если выводы исследования верны, уже отправленные слепки устройства остаются на сервере и полностью удалить их нельзя. Однако на Android можно отключить приложение через ADB. Для этого подключите смартфон по USB в режиме отладки и выполните в терминале Android Platform Tools команды: adb devices После этого режим отладки следует выключить.
adb shell pm disable‑user --user 0 ru.vk.store
RuStore не доступен на iPhone, но ряд других приложений для iOS и Android могут представлять угрозу безопасности и требуют отдельного анализа.
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в России. С сентября прошлого года также существует требование предустанавливать мессенджер Max.
