Исследование безопасности указывает, что российский магазин приложений RuStore способен незаметно инициировать установку программ, собирать подробные данные о пользователях и вести постоянный мониторинг файловых директорий с фотографиями.
Что обнаружили исследователи
- Скрытая установка: RuStore может запускать «тихую» установку приложений без видимых запросов и уведомлений; исследователь полагает, что так был установлен мессенджер Max.
- Определение местоположения: магазин регулярно фиксирует координаты даже при отключённом GPS, определяя позицию по сети, сотовым вышкам и MAC‑адресу роутера.
- Слежка за приложениями: на серверы отправляется «слепок» устройства — список используемых VPN, банковских и защищённых мессенджеров, сторонних магазинов, привязанный к аппаратному ID, а также данные о частоте и длительности запуска приложений.
- Мониторинг галереи: включённый в RuStore SDK от стороннего производителя (Kaspersky SDK) постоянно сканирует директории DCIM и Pictures, где хранятся личные фото.
«В результате получился архитектурный Франкенштейн, нарушающий все мыслимые правила», — отмечает автор исследования.
Удалить цифровой отпечаток — вряд ли возможно: если выводы исследования верны, уже отправленные на сервер данные связаны с аппаратным идентификатором устройства и неотвратимо сохраняются.
Как временно отключить RuStore на Android
Исследователи предлагают подключить Android‑смартфон к компьютеру по USB в режиме отладки и выполнить команды Android Debug Bridge. Пример последовательности команд:
adb devices
adb shell pm disable‑user --user 0 ru.vk.store
После выполнения команд рекомендуется отключить режим отладки. Это временно отключит приложение для текущего пользователя, но не гарантирует удаления уже переданных данных.
На iPhone RuStore отсутствует, однако ряд других отечественных приложений также могут представлять угрозу безопасности и требуют отдельного анализа.
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в России; с сентября прошлого года правительство также обязало предустанавливать мессенджер Max.