Что показало исследование
По версии исследователей, RuStore способен инициировать «тихую» установку приложений — без запросов и уведомлений для пользователя. Именно таким способом, по их мнению, мог быть установлен мессенджер Max на некоторые устройства.
Магазин регулярно фиксирует местоположение устройства даже при отключенном GPS. Для этого используются данные сети, сотовых вышек и MAC‑адрес роутера — сочетание таких сигналов, по оценке авторов, позволяет точно определять геопозицию.
Исследование также утверждает, что RuStore отправляет на внешние серверы полный «слепок» устройства: список установленных приложений (VPN, банковские приложения, защищённые мессенджеры, сторонние магазины), аппаратный идентификатор и метрики запуска приложений — как часто и как долго они используются.
«Мы имеем наглую, ничем не оправданную слежку за вашей активностью», — пишет автор исследования.
Кроме того, в состав приложения встроен антивирусный SDK, который, по наблюдениям исследователей, постоянно мониторит каталоги DCIM и Pictures, где хранятся личные фотографии пользователя.
Авторы называют итоговую архитектуру «франкенштейном»: по их словам, в проекте использованы разношёрстные компоненты, что создаёт дополнительные риски для приватности.
Если выводы верны, то уже отправленные на сервер «слепки» привязаны к ID устройства и удалить их у пользователя не получится.
Как временно отключить RuStore на Android
Исследователи предлагают временно деактивировать магазин через Android Debug Bridge. Для этого подключите смартфон по USB в режиме отладки и выполните команды в терминале:adb devices
adb shell pm disable‑user --user 0 ru.vk.store
После выполнения команд режим отладки рекомендуется отключить.
На iPhone RuStore отсутствует, однако исследователи предупреждают, что ряд других российских приложений пока недостаточно изучен и тоже может представлять риск для безопасности и приватности.
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в России. Кроме того, с сентября прошлого года действует требование предусматривать предустановку мессенджера Max.
