По данным независимого исследования, российский магазин приложений может скрытно инициировать установку программ без явных запросов пользователю и одновременно собирать данные о местоположении, перечне установленных приложений и содержимом галереи.
Что обнаружили исследователи
- Тихая установка: магазин способен запускать установку приложений без показа запросов и уведомлений пользователю.
- Определение местоположения: координаты фиксируются не только через GPS, но и по сети, сотовым вышкам и MAC‑адресу роутера, что обеспечивает точную геолокацию даже при выключенном GPS.
- Слежение за приложениями: на сервер отправляется «слепок» устройства — список используемых VPN, банковских приложений, защищённых мессенджеров и сторонних магазинов, привязанный к аппаратному ID смартфона, а также данные о частоте и длительности запуска этих приложений.
- Мониторинг галереи: встроенный сторонний антивирусный SDK постоянно сканирует каталоги с фотографиями (DCIM, Pictures), что даёт доступ к личным изображениям пользователя.
Исследователь называет обнаруженные механизмы «наглой, ничем не оправданной слежкой» за активностью пользователей.
Последствия для пользователей
Если описанные методы действительно использовались, уже отправленные на сервер данные и «слепки» устройств привязаны к аппаратным идентификаторам, и удалить этот цифровой отпечаток будет невозможно.
Как временно отключить RuStore на Android
Исследователи объясняют, что можно выключить приложение через Android Debug Bridge. Для этого подключите смартфон по USB в режиме отладки и выполните команды в терминале:
adb devices
adb shell pm disable‑user --user 0 ru.vk.store
После этого режим отладки рекомендуется отключить. На iPhone магазин RuStore отсутствует, однако другие приложения могут представлять потенциальную угрозу безопасности и требуют отдельного анализа.
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в России. С сентября прошлого года также введено требование предустановки отечественного мессенджера.
