Исследователь обнаружил, что российский магазин приложений RuStore может незаметно устанавливать другие приложения и собирать широкие данные о пользователе, включая геопозицию и информацию о других установленных программах.
Тихая установка
По выводам автора исследования, магазин способен инициировать «тихую» установку приложений — без отображения запросов или уведомлений для пользователя. Такой механизм мог быть использован для скрытой установки мессенджера.
Определение местоположения
RuStore, по исследованию, регулярно фиксирует местоположение устройства даже при выключенном GPS. Магазин определяет координаты через сеть: по сотовым вышкам, по MAC‑адресу роутера и другим сетевым данным, что, как считает автор, достаточно для точного геопозиционирования.
Слежение за приложениями и «слепок» устройства
Исследование указывает, что магазин периодически отправляет на серверы полный «слепок» устройства: какие VPN и банковские приложения установлены, какие защищённые мессенджеры и сторонние магазины используются. Этот перечень привязывается к аппаратному идентификатору смартфона и содержит данные о частоте и длительности запуска приложений.
«Мы имеем наглую, ничем не оправданную слежку за вашей активностью», — пишет автор исследования.
Доступ к фотографиям
Встроенный Kaspersky SDK внутри магазина, как отметил исследователь, постоянно мониторит директории DCIM и Pictures, где хранятся личные фотографии пользователя. Автор называет архитектуру интеграции SDK «архитектурным Франкенштейном», нарушающим распространённые практики безопасности.
Можно ли удалить цифровой след?
Если выводы верны, уже отправленный на сервер «слепок» устройства привязан к ID и не подлежит удалению пользователем — стереть следы после отправки будет невозможно.
Как отключить RuStore
Автор предлагает отключать магазин через Android Debug Bridge. Смартфон подключают по USB в режиме отладки и выполняют команды в терминале:
adb devices
adb shell pm disable‑user --user 0 ru.vk.store
После выполнения команд режим отладки следует отключить. На iPhone такой магазин отсутствует, но другие отечественные приложения могут представлять угрозу, если их функционал ещё не был исследован.
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в России. Ранее также было принято требование о предустановке определённого мессенджера.
