Новое исследование указывает, что российский магазин приложений RuStore способен выполнять скрытую установку приложений, собирать данные о местоположении и формировать подробный «отпечаток» устройства, который отправляется на серверы.
Скрытая установка приложений
Исследователь утверждает, что магазин может инициировать «тихую» установку новых приложений без отображения запросов и уведомлений пользователю. По его мнению, именно таким способом мог быть установлен мессенджер Max на телефоны.
Отслеживание местоположения
RuStore, по данным исследования, регулярно фиксирует координаты пользователей — даже при выключенном GPS. Для определения положения используются сетевые методы: данные оператора, информация о сотовых вышках и MAC‑адрес роутера. Авторы отмечают, что такой набор источников позволяет достаточно точно геопозиционировать устройство.
Сбор сведений о приложениях и поведении
В исследовании говорится, что магазин регулярно отправляет на серверы «полный слепок» устройства: какие VPN установлены, какие банковские приложения, защищённые мессенджеры или сторонние магазины есть на телефоне. Этот список привязывается к аппаратному ID смартфона, а также содержит сведения о том, как часто и как долго пользователь запускает те или иные приложения.
«Мы имеем наглую, ничем не оправданную слежку за вашей активностью», — отмечает автор исследования.
Мониторинг галереи
Внутри RuStore обнаружен SDK антивирусного производителя, который постоянно сканирует директории DCIM и Pictures, где обычно хранятся личные фотографии. Исследователь критикует применение стороннего антивирусного SDK «как есть», что, по его словам, привело к «архитектурному Франкенштейну», нарушающему базовые правила безопасности.
Можно ли удалить цифровой отпечаток?
Если выводы исследования верны, то уже отправленный на сервер «снимок» устройства остаётся привязанным к идентификатору телефона, и полностью убрать его нельзя.
Как временно отключить RuStore на Android
Авторы исследования предлагают временно отключить приложение через Android Debug Bridge. Для этого смартфон подключают по USB в режиме отладки и выполняют команды в терминале:
adb devices
adb shell pm disable‑user --user 0 ru.vk.store
После выполнения рекомендуется отключить режим отладки.
На iPhone RuStore не доступен, однако ряд других российских приложений могут представлять угрозу безопасности и ещё требуют изучения.
Контекст
С апреля 2024 года RuStore обязан предустанавливаться на продаваемые в РФ телефоны, а с сентября прошлого года действует требование о предустановке мессенджера Max.
