Исследователи: RuStore может тихо устанавливать мессенджер и собирать данные пользователей

Российский магазин приложений, по данным исследования, способен незаметно устанавливать приложения, собирать сведения о местоположении и отслеживать установленные программы и содержимое галереи. Авторы работы считают методы воспроизводимыми и ожидают подтверждения от других специалистов.

Что выявили исследователи

Скрытая установка. Магазин может инициировать «тихую» установку новых приложений — без видимых запросов и уведомлений. По мнению авторов исследования, так могла происходить скрытая установка мессенджера.

Определение местоположения. Приложение регулярно фиксирует координаты даже при выключенном GPS, используя данные сети, сотовых вышек и MAC‑адрес маршрутизатора. Авторы отмечают, что такой набор источников позволяет добиться точного геопозиционирования.

Слежка за приложениями. Магазин регулярно отправляет на серверы полный «слепок» устройства: какие VPN используются, какие банковские приложения, защищённые мессенджеры или сторонние магазины установлены, а также как долго и как часто они запускаются. Эти данные связываются с аппаратным идентификатором смартфона.

Мониторинг галереи. Внутри магазина задействован сторонний антивирусный SDK, который постоянно сканирует директории с фотографиями (DCIM и Pictures). Авторы описывают получившуюся архитектуру как «архитектурный Франкенштейн», нарушающий распространённые практики безопасности.

«Мы имеем наглую, ничем не оправданную слежку за вашей активностью», — считают авторы исследования.

Можно ли удалить уже отправленный цифровой отпечаток?

Если выводы исследования верны, отсканированный «слепок» устройства уже передан на сервер и привязан к идентификатору аппарата, поэтому полностью удалить цифровой след будет невозможно.

Как отключить RuStore на Android

1. Подключите Android‑смартфон по USB в режиме отладки к компьютеру с установленными Android Platform Tools.
2. В терминале выполните команды: adb devices и затем adb shell pm disable‑user --user 0 ru.vk.store.
3. После выполнения команд отключите режим отладки на устройстве.

На iPhone указанный магазин не доступен, однако авторы предупреждают, что ряд других приложений может представлять угрозу безопасности и требует отдельного изучения.

Контекст

С апреля 2024 года магазин должен предустанавливаться на все телефоны, продаваемые в РФ. Кроме того, с сентября прошлого года правительством установлены требования к предустановке определённого мессенджера.