Краткое содержание
Исследование показывает, что магазин приложений RuStore может инициировать «тихую» установку программ без уведомлений, регулярно собирать данные о местоположении и состоянии других приложений, а также сканировать каталоги с фотографиями.
Тихая установка приложений
По выводам автора исследования, магазин способен инициировать «тихую» (silent) установку новых приложений — без явных запросов или уведомлений для пользователя. Исследователь полагает, что этим способом могла быть произведена установка мессенджера.
Отслеживание местоположения даже при выключенном GPS
Сервис регулярно фиксирует координаты устройства не только через спутниковый GPS, но и по сети: используя данные мобильных вышек, привязку к MAC‑адресу роутера и другие сетевые признаки. По мнению автора, такой набор инструментов позволяет достаточно точно определять геопозицию даже при выключенном GPS.
Сбор данных о других приложениях и «отпечаток» устройства
Исследование указывает, что магазин периодически отправляет на серверы «полный слепок» устройства: какие VPN и банковские приложения установлены, какие защищённые мессенджеры используются, какие сторонние магазины приложений присутствуют. Этот список привязывается к аппаратному идентификатору устройства и содержит информацию о том, как часто и как долго пользователь запускает те или иные приложения.
«Мы имеем наглую, ничем не оправданную слежку за вашей активностью», — отмечает автор исследования.
Доступ к галерее
В составе приложения обнаружен сторонний антивирусный SDK, который постоянно мониторит каталоги DCIM и Pictures, где хранятся личные фотографии. По мнению исследователя, встраивание готового SDK привело к «архитектурному» решению с избыточными правами и поведением, не характерным для мобильных приложений.
Можно ли удалить уже собранный цифровой отпечаток?
Если выводы верны, то нет: отсканированный «слепок» устройства уже отправлен на сервер и привязан к аппаратному ID, а этого не отменить обычными настройками телефона.
Как отключить магазин на Android
Исследователи рекомендуют временно подключить Android‑смартфон к компьютеру с Android Platform Tools и выполнить в терминале Android Debug Bridge команды:
adb devices
adb shell pm disable‑user --user 0 ru.vk.store
После этого режим отладки следует отключить.
iPhone и общий контекст
На iPhone этот магазин не присутствует, но исследователи предупреждают, что ряд других российских приложений ещё не прошёл подобную проверку и может представлять угрозу. В контексте: с апреля 2024 магазины этого типа должны предустанавливаться на продаваемые в РФ телефоны, а предустановка отдельного мессенджера была обязательной с сентября прошлого года.
