Исследование показывает, что российский магазин приложений способен инициировать «тихую» установку приложений, собирать данные о местоположении и о других установленных программах, а также мониторить содержимое галереи пользователя.
Тихая установка
По выводам автора исследования, магазин может запускать установку новых приложений без явных запросов и уведомлений для пользователя. Именно такой механизм исследователь считает вероятным для скрытой установки мессенджера Max на устройствах.
Отслеживание местоположения
В исследовании утверждается, что магазин регулярно фиксирует координаты устройств даже при выключенном GPS. Для этого используются данные сети — определение по сотовым вышкам и MAC‑адресу роутера — что, по мнению автора, позволяет получать точную геопозицию.
Слежение за приложениями и сбор «слепка» устройства
Исследование показывает, что с сервера отправляется подробный «слепок» устройства: какие VPN и банковские приложения установлены, какие защищённые мессенджеры и сторонние магазины присутствуют, а также как часто и как долго пользователь их запускает. Всё это, по данным исследования, привязывается к аппаратному идентификатору смартфона.
Доступ к галерее
В составе магазина используется антивирусный SDK, который, как заметил автор исследования, постоянно сканирует директории DCIM и Pictures — то есть доступен просмотр личных фотографий и изображений пользователя.
В результате получилась «архитектурная мешанина», нарушающая обычные принципы безопасности, — считает автор исследования.
Можно ли удалить цифровой отпечаток?
Если выводы исследования верны, уже отправленный на сервер «слепок» устройства привязан к аппаратному ID, и полностью удалить такой цифровой след нельзя.
Как отключить RuStore на Android
Авторы исследования предлагают отключить магазин через ADB. Для этого подключите смартфон в режиме отладки к компьютеру с Android Platform Tools и выполните в терминале серии команд:
adb devices
adb shell pm disable‑user --user 0 ru.vk.store
После выполнения команд режим отладки следует отключить. На iPhone этот магазин не доступен, однако, по словам исследователей, ряд других приложений ещё не прошёл полноценного изучения и может представлять риск.
Контекст
С апреля 2024 года магазин должен предустанавливаться на все телефоны, продаваемые в России. С сентября прошлого года также действовало требование о предустановке определённого мессенджера.
