Исследование показало, что российский магазин приложений RuStore может незаметно инициировать установку других программ и собирать широкий набор данных о пользователях и их устройствах.
Тихая установка
По выводам авторов исследования, RuStore способен запускать «тихую» установку приложений — без явных запросов и уведомлений для пользователя. Исследователь считает, что именно таким способом на часть устройств попал мессенджер Max.
Отслеживание местоположения
Магазин регулярно фиксирует координаты пользователей даже при выключенном GPS. Для этого используются данные сети — сотовых вышек, MAC‑адреса роутера и другие сетевые сигналы. По мнению исследователя, такой набор источников позволяет точечно определять геопозицию.
Слежка за списком приложений и активностью
Сообщается, что RuStore периодически отправляет на сервер «полный слепок» устройства: перечень установленных VPN, банковских и защищённых мессенджеров, сторонних магазинов и другую информацию, жёстко связав её с аппаратным ID смартфона. Также передаются данные о том, как часто и как долго запускаются те или иные приложения.
«Мы имеем наглую, ничем не оправданную слежку за вашей активностью».
Доступ к личным фотографиям
В исследовании отмечено, что включённый в RuStore SDK от сторонней антивирусной компании мониторит каталоги DCIM и Pictures, где обычно хранятся личные фото. Автор критикует архитектуру приложения за объединение разных компонентов «как есть», что приводит к нарушениям базовых принципов безопасности.
Удаляется ли цифровой отпечаток?
Если выводы верны, то отправленный на сервер «слепок» устройства уже привязан к аппаратному идентификатору, и полностью удалить такой отпечаток нельзя.
Как временно отключить RuStore на Android
Авторы исследования рекомендуют подключить Android‑смартфон по USB в режиме отладки к компьютеру с Android Platform Tools и выполнить в терминале команды ADB:
adb devicesadb shell pm disable‑user --user 0 ru.vk.store
После этого режим отладки следует отключить.
На iPhone RuStore отсутствует, но исследователи предупреждают, что ряд других российских приложений ещё не были подробно изучены и также могут представлять риски.
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в РФ. С сентября правительство также обязало предустанавливать мессенджер Max.
