Независимое исследование показывает: российский магазин приложений RuStore способен тихо устанавливать приложения на устройства, регулярно собирать данные о местоположении, мониторить установленные программы и сканировать галерею пользователя.
Ключевые выводы
- Тихая установка. RuStore может инициировать «тихую» установку приложений — без всплывающих запросов и уведомлений. Исследователь связывает этот механизм со скрытой установкой мессенджера Max.
- Фиксация местоположения. Магазин регулярно определяет координаты даже при выключенном GPS, используя сеть, сотовые вышки и MAC‑адрес роутера; этого, по мнению автора, достаточно для точного геопозиционирования.
- Слежение за приложениями. На серверы отправляется полный «слепок» устройства: какие VPN, банковские приложения, защищённые мессенджеры и сторонние магазины установлены, а также привязка этого списка к аппаратному ID и данные о частоте и длительности их запуска.
- Доступ к галерее. Встроенный Kaspersky SDK постоянно мониторит директории DCIM и Pictures, где хранятся личные фотографии пользователя; исследователь отмечает неудачную архитектуру и использование стороннего антивирусного SDK «как есть».
- Невозможность удалить отпечаток. Если «слепок» устройства уже отправлен на сервер и привязан к ID, исследование говорит, что удалить цифровой отпечаток нельзя.
«Мы имеем наглую, ничем не оправданную слежку за вашей активностью», — считает исследователь.
Как отключить RuStore
В исследовании предлагается отключать магазин через Android Debug Bridge. Для этого подключите Android‑смартфон по USB в режиме отладки к компьютеру с установленными Android Platform Tools и выполните в терминале следующие команды: adb devicesadb shell pm disable‑user --user 0 ru.vk.store
После этого режим отладки можно отключить.
На iPhone RuStore отсутствует, но исследователи предупреждают, что ряд других российских приложений ещё не были детально изучены и потенциально могут представлять угрозу безопасности.
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в России. С сентября прошлого года правительство также обязало предустанавливать мессенджер Max.
