По результатам исследования, магазин приложений способен незаметно устанавливать на устройства новые мессенджеры и собирать разнообразную информацию о пользователях: координаты, список установленных программ, данные об их использовании и содержимое галереи.
Тихая установка
Исследователь утверждает, что магазин может инициировать «тихую» установку приложений — без показа запросов и уведомлений пользователю. По его мнению, именно таким способом мог быть установлен мессенджер на часть устройств.
Определение местоположения даже при выключенном GPS
Приложение регулярно фиксирует местоположение, используя не только GPS, но и сетевые методы: по сети, по сотовым вышкам и по MAC‑адресу роутера. По словам автора исследования, этого набора достаточно для точного геопозиционирования даже при выключенном GPS.
Слежка за установленными приложениями
Собранные данные включают полный «слепок» устройства: какие VPN используются, какие банковские приложения, защищённые мессенджеры или сторонние магазины установлены. Этот список привязывается к аппаратному идентификатору смартфона и содержит информацию о том, как часто и как долго пользователь запускает те или иные приложения.
По мнению исследователя, такая практика представляет собой «наглую, ничем не оправданную слежку за вашей активностью».
Доступ к фотографиям
Встроенный антивирусный SDK внутри магазина, как отмечено в исследовании, постоянно мониторит директории DCIM и Pictures, где хранятся личные фотографии. Автор называет итоговую архитектуру «франкенштейном», нарушающим общепринятые правила разработки и конфиденциальности.
Можно ли удалить цифровой отпечаток?
Если выводы исследования верны, то удалить уже отправленный «слепок» нельзя: данные отправляются на сервер и привязываются к идентификатору устройства.
Как временно отключить RuStore на Android
Авторы исследования предлагают следующий способ для Android: подключить смартфон по USB в режиме отладки и выполнить команды Android Debug Bridge в терминале:
adb devicesadb shell pm disable‑user --user 0 ru.vk.store
После этого режим отладки рекомендуется отключить.
На iPhone RuStore отсутствует, но ряд других российских приложений ещё не прошёл подробного анализа и может представлять угрозу безопасности.
Контекст
С апреля 2024 года магазин должен предустанавливаться на все телефоны, продаваемые в России. Ранее также было принято решение о предустановке определённого мессенджера на продаваемые устройства.
