В новом исследовании говорится, что российский магазин приложений RuStore способен незаметно устанавливать приложения, собирать подробные данные о пользователях и передавать их на серверы. Авторы работы утверждают, что методы легко воспроизводимы и могут быть подтверждены другими исследователями.
Тихая установка
По выводам исследования, RuStore может инициировать «тихую» установку приложений: пользователю не показываются запросы на установку и уведомления. Именно этим способом, по версии исследователя, магазин мог незаметно установить мессенджер Max на некоторые устройства.
Определение местоположения при выключенном GPS
Магазин регулярно собирает данные о геопозиции не только через спутниковый GPS, но и по сетевым методам: по координатам сети, по данным сотовых вышек и по MAC‑адресу роутера. Исследователь отмечает, что такой набор источников позволяет достаточно точно определять местоположение даже при отключённом GPS.
Слежка за установленными приложениями
Отчёт указывает, что магазин периодически отправляет на сервер «полный слепок» устройства: какие VPN и банковские приложения установлены, какие защищённые мессенджеры или сторонние магазины используются. Этот набор данных, по словам автора, привязывается к аппаратному идентификатору смартфона и содержит информацию о частоте и длительности использования приложений.
Мониторинг галереи
Встроенный в магазин антивирусный SDK, по наблюдению исследователя, постоянно сканирует каталоги DCIM и Pictures, где хранятся личные фотографии пользователя. По мнению автора, это свидетельствует о проблемных архитектурных решениях в реализации магазина.
«Мы имеем наглую, ничем не оправданную слежку за вашей активностью», — пишет автор исследования.
Можно ли удалить цифровой отпечаток?
Если выводы верны, то уже отправленный на сервер «слепок» устройства привязан к аппаратному ID и удалить его нельзя — данные остаются у получателя.
Как временно отключить RuStore
Исследователи предлагают временно отключить магазин на Android‑устройстве через ADB. Для этого подключите смартфон по USB в режиме отладки и выполните в терминале команды: adb devices. После выполнения команд режим отладки следует выключить.
adb shell pm disable‑user --user 0 ru.vk.store
Другие платформы и контекст
На iPhone RuStore не доступен, однако исследователи предупреждают, что и ряд других приложений могут представлять угрозу безопасности и пока не были полноценно изучены. С апреля 2024 года RuStore обязан предустанавливаться на телефоны, продаваемые в России, а с сентября прошлого года правительство требует предустановки мессенджера Max.
