Что случилось
По итогам исследования выяснилось, что российский магазин приложений RuStore способен на скрытую установку программ и широкомасштабный сбор данных о пользователях.
Ключевые выводы
- Тихая установка: RuStore может инициировать «тихую» установку приложений без показа запросов и уведомлений — исследователь связывает это с появлением мессенджера Max на некоторых устройствах.
- Отслеживание местоположения: магазин регулярно фиксирует координаты даже при выключенном GPS, определяя местоположение по сети, сотовым вышкам и MAC‑адресу роутера.
- Мониторинг установленных приложений: RuStore отправляет на серверы полный «слепок» устройства — какие VPN, банки, защищённые мессенджеры и сторонние магазины установлены, привязывая этот список к аппаратному ID и собирая данные о частоте и длительности запусков.
- Доступ к галерее: встроенный антивирусный SDK (Kaspersky SDK) ведёт мониторинг директорий с фотографиями (DCIM, Pictures) и просматривает содержимое.
- Нельзя удалить цифровой отпечаток: если слепок устройства уже отправлен и привязан к ID, исследование считает, что его невозможно отозвать или удалить.
Автор исследования критикует архитектуру магазина и применение сторонних SDK «как есть», что, по его мнению, привело к ненадлежащей реализации механизмов защиты и нарушению приватности пользователей.
Как временно отключить RuStore на Android
Если вы пользуетесь Android, можно попытаться отключить RuStore через ADB. Подключите смартфон по USB в режиме отладки и выполните в терминале следующие команды:
adb devices
adb shell pm disable‑user --user 0 ru.vk.store
После выполнения команд завершите режим отладки. Замечание: этот метод временный и требует осторожности при работе с системными приложениями.
На iPhone RuStore отсутствует, однако ряд других приложений может представлять риски безопасности и ещё не прошёл детальное исследование.
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в России; с сентября прошлого года правительство также обязало предустанавливать мессенджер Max.
