Исследование показывает, что российский магазин приложений RuStore потенциально способен устанавливать приложения без уведомлений пользователю, собирать данные о местоположении и других установленных программах, а также следить за фотографиями в галерее.
Скрытая установка
По данным исследования, RuStore может инициировать «тихую» установку приложений: установка проходит без явных запросов и системных уведомлений. Авторы исследования считают, что таким образом на части устройств был установлен мессенджер Max.
Отслеживание местоположения
RuStore регулярно фиксирует координаты пользователей даже при выключенном GPS: магазин определяет позицию по сети, по сотовым вышкам и по MAC‑адресу роутера. По мнению исследователя, такой набор данных достаточен для точного геопозиционирования.
Слежение за приложениями
В исследовании отмечено, что магазин отправляет на серверы компании «VK» «полный слепок устройства»: какие VPN, банковские приложения, защищённые мессенджеры или сторонние магазины установлены, а также как часто и как долго пользователь их запускает. Этот список связывается с аппаратным идентификатором смартфона.
Мониторинг галереи
В составе RuStore обнаружен SDK от Kaspersky, который постоянно сканирует директории DCIM и Pictures, где хранятся личные фотографии. Авторы исследования называют архитектуру приложения «Франкенштейном», указывая на плохую интеграцию стороннего антивирусного SDK.
Можно ли удалить цифровой отпечаток?
Если выводы исследования верны, то уже отправленный «слепок» устройства остаётся на сервере и привязан к ID устройства, то есть полностью удалить цифровой отпечаток нельзя.
Как отключить RuStore
Авторы исследования предлагают следующий способ для Android: подключить смартфон по USB в режиме отладки к компьютеру с установленными Android Platform Tools и выполнить команды ADB:adb devicesadb shell pm disable‑user --user 0 ru.vk.store
После выполнения команд режим отладки следует отключить.
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в РФ. С сентября прошлого года правительство также обязало предустанавливать мессенджер Max.
