Исследование показывает, что российский магазин приложений RuStore способен незаметно устанавливать программы и собирать широкий набор данных о пользователях: геопозицию, список установленных приложений и содержимое некоторых директорий с фотографиями.
Тихая установка
По выводам авторов исследования, RuStore может инициировать «тихую» установку приложений: процесс проходит без явных запросов и уведомлений для пользователя. В качестве такого примера упоминается установка мессенджера.
Отслеживание местоположения
Магазин регулярно фиксирует координаты устройств, в том числе при выключенном GPS. Для этого используются данные сети: сотовые вышки, определение по сети и MAC‑адрес роутера. По мнению исследователей, такой набор источников позволяет получать достаточно точное геопозиционирование.
Слежка за приложениями и цифровой отпечаток
Исследование указывает, что RuStore регулярно отправляет на сервер «полный слепок» устройства: какие VPN и банковские приложения установлены, какие защищённые мессенджеры и сторонние магазины используются. Этот список привязывается к аппаратному идентификатору смартфона, а также передаются данные о частоте и длительности запуска приложений.
Доступ к галерее
В магазине встроен SDK антивирусного производителя, который, как отмечают исследователи, отслеживает директории DCIM и Pictures, где обычно хранятся личные фотографии. По их оценке, это выглядит как «архитектурный Франкенштейн», в котором компоненты собраны без учёта мобильных практик.
Можно ли удалить цифровой отпечаток?
Если выводы исследования верны, то уже отправленный на сервер «слепок» устройства привязан к ID и не подлежит удалению со стороны пользователя.
Как отключить RuStore на Android
Исследователи рекомендуют подключить Android‑смартфон по USB в режиме отладки к компьютеру с Android Platform Tools и выполнить в терминале команды: adb devices. После этого режим отладки следует отключить.
adb shell pm disable‑user --user 0 ru.vk.store
Контекст
С апреля 2024 года национальные магазины приложений должны предустанавливаться на продаваемые в России телефоны. Ранее правительством также было принято требование о предустановке определённого мессенджера.
