Анализ программного кода и поведения магазина приложений RuStore показал, что он может незаметно устанавливать мессенджер Max и массово собирать данные о пользователях.
Скрытая установка
RuStore способен инициировать «тихую» установку приложений: пользователю не показываются запросы и уведомления. По мнению исследователя, именно таким способом мессенджер Max мог появляться на телефонах без явного согласия владельца.
Отслеживание местоположения
Магазин регулярно фиксирует координаты устройства даже при выключенном GPS. Для этого используются данные от сети, сотовых вышек и MAC‑адреса роутера, что, по оценке автора исследования, позволяет достаточно точно определять местоположение.
Слежение за установленными приложениями
Исследование показывает, что RuStore отправляет на серверы полный «слепок» устройства: перечень установленных VPN, банковских приложений, защищённых мессенджеров и сторонних магазинов. Этот список привязывается к аппаратному идентификатору и включает данные о частоте и длительности использования приложений.
Доступ к галерее
Во встроенном в магазин антивирусном SDK обнаружен постоянный мониторинг папок DCIM и Pictures, где хранятся личные фото пользователя. По оценке исследователя, это выглядит как интеграция стороннего SDK без доработок, что создаёт уязвимую архитектуру приложения.
В результате получилась архитектура, нарушающая многие стандартные принципы безопасности.
Можно ли удалить цифровой отпечаток?
Если выводы исследования верны, отозванные данные уже отправлены на сервер и привязаны к ID устройства, поэтому полностью удалить «отпечаток» после передачи нельзя.
Как отключить RuStore на Android
Для отключения RuStore исследователь рекомендует подключить Android‑смартфон по USB в режиме отладки и выполнить в терминале набор команд Android Debug Bridge: adb devicesadb shell pm disable‑user --user 0 ru.vk.store
После этого режим отладки следует отключить.
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в России. С сентября предыдущего года также действовало требование о предустановке мессенджера Max.
