Исследование показало, что российский магазин приложений RuStore обладает набором возможностей, которые позволяют ему незаметно устанавливать приложения и собирать обширные данные о пользователях и их устройствах.
Тихая установка
Автор исследования утверждает, что RuStore может инициировать «тихую» установку приложений — без видимых запросов и уведомлений для пользователя. По его мнению, именно так на часть устройств мог быть установлен мессенджер Max.
Отслеживание местоположения
Магазин регулярно фиксирует местоположение устройств даже при отключённом GPS. Помимо спутниковых данных, определение координат происходит по сети, сотовым вышкам и MAC‑адресу роутера — этого, по мнению исследователя, достаточно для точного геопозиционирования.
Сбор данных о приложениях и активности
В исследовании говорится, что RuStore регулярно отправляет на сервер «снимок» устройства: какие VPN и банковские приложения установлены, какие защищённые мессенджеры или сторонние магазины используются, а также как часто и как долго запускаются те или иные приложения. Все эти данные привязываются к аппаратному идентификатору смартфона.
«Мы имеем наглую, ничем не оправданную слежку за вашей активностью», — пишет автор исследования.
Доступ к галерее
Внутри магазина встроен антивирусный SDK, который постоянно мониторит папки DCIM и Pictures, где хранятся личные фотографии. Исследователь отмечает, что интеграция SDK выглядит неочевидной и создала «архитектурный Франкенштейн», нарушающий принятые практики защиты данных.
Можно ли удалить цифровой отпечаток?
Если выводы верны, то удалить уже отправленный «слепок» устройства нельзя: он привязан к ID и хранится на сервере.
Как отключить RuStore
Исследователь рекомендует подключить Android‑смартфон по USB в режиме отладки к компьютеру с Android Platform Tools и выполнить команды ADB, затем отключить режим отладки:adb devices
adb shell pm disable‑user --user 0 ru.vk.store
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в РФ. С сентября прошлого года также действует требование предустанавливать определённый мессенджер.
