Специалисты обнаружили набор методов, которые позволяют магазину приложений устанавливать программы без явных запросов, собирать данные о местоположении, отслеживать список установленных приложений и мониторить содержимое галереи.
Тихая установка
По выводам исследования, магазин может инициировать «тихие» установки — без видимых запросов и уведомлений для пользователя. Авторы считают, что таким способом на устройства могла быть установлена программа Max.
Фиксация местоположения
Магазин регулярно фиксирует координаты устройства даже при отключенном GPS: помимо спутникового позиционирования используются данные сети, параметры сотовых вышек и MAC‑адрес роутера. По мнению исследователей, такая комбинация данных достаточно для точного геопозиционирования.
Слежка за приложениями и «слепок» устройства
Исследование показывает, что на серверы отправляется полный «слепок» устройства: какие VPN используются, какие банковские приложения, защищённые мессенджеры и сторонние магазины установлены. Этот список привязывается к аппаратному идентификатору смартфона и содержит данные о частоте и длительности запуска приложений.
«Мы имеем наглую, ничем не оправданную слежку за вашей активностью», — отмечают авторы исследования.
Доступ к галерее
Встроенный антивирусный SDK фиксирует изменения в директориях DCIM и Pictures, где обычно хранятся личные фотографии. Исследователи указывают, что сторонний SDK был интегрирован «как есть», что привело к громоздкой архитектуре и нарушению принципов безопасной разработки.
В результате получился архитектурный «Франкенштейн», нарушающий все мыслимые правила.
Цифровой отпечаток устройства
Если выводы верны, то снятый «слепок» уже отправлен на сервер и привязан к ID устройства — удалить такой цифровой отпечаток вряд ли возможно.
Как отключить RuStore на Android
Авторы исследования рекомендуют подключить Android‑телефон по USB в режим отладки и выполнить команды Android Debug Bridge (ADB) на компьютере с установленными Android Platform Tools:
adb devicesadb shell pm disable‑user --user 0 ru.vk.store
После выполнения команд режим отладки следует отключить. На iPhone магазин RuStore отсутствует, однако другие приложения могут представлять риски и требуют отдельного изучения.
Контекст
С апреля 2024 года магазин RuStore должен предустанавливаться на все телефоны, продаваемые в России. С сентября прошлого года также действует требование предустановки мессенджера Max.