Российский магазин приложений также собирает информацию о местоположении и других приложениях и следит за галереей, говорится в исследовании. В проекте «Сетевые Свободы» считают, что его методы воспроизводимы, так что можно ждать верификации от других исследователей.
Скрытая установка. RuStore может инициировать «тихую» установку новых приложений: пользователю не показывают запросы и уведомления. Исследователь считает, что RuStore использовал этот способ для скрытой установки мессенджера Max на телефоны пользователей.
Местоположение. RuStore регулярно фиксирует местоположение, причем он делает это даже с выключенным GPS. Помимо спутника, магазин определяет координаты по сети, сотовым вышкам и MAC-адресу роутера. «Этого набора достаточно для точного геопозиционирования даже при выключенном GPS», — считает автор исследования.
Слежка за приложениями. Исследование также показывает, что RuStore регулярно отправляет на серверы VK «полный слепок вашего устройства: какие VPN вы используете, какие банки, защищенные мессенджеры или сторонние магазины у вас стоят. Весь этот список намертво привязывается к аппаратному ID смартфона», а также данные о том, как часто и как долго пользователь их запускает.
«Мы имеем наглую, ничем не оправданную слежку за вашей активностью», — считает автор исследования.
Галерея. Kaspersky SDK внутри RuStore ведет постоянный мониторинг директорий DCIM и Pictures, в которых находятся личные фотографии пользователя, заметил исследователь. Он видит здесь «стандартные паттерны работы антивирусного комбайна, написанного не Android-, а Windows-разработчиками». Автор уличает разрботчиков RuStore в том, что «имея гигантские бюджеты на разработку национального магазина, создатели <…> тупо вшили сторонний антивирусный SDK „как есть“».
«В результате получился архитектурный Франкенштейн, нарушающий все мыслимые правила».
Можно ли удалить цифровой отпечаток? Если выводы исследования верны, то нельзя. Отсканированный слепок устройства уже отправлен на сервер и привязан к ID устройства.
Как отключить RuStore? В «Сетевых Свободах» пояснили, что андроид-смартфон нужно подключить по USB в режиме откладки к компьютеру с установленным Android Platform Tools и ввести серию команд Android Debug Bridge в терминале:
adb devices adb shell pm disable-user —user 0 ru.vk.storeПосле этого режим отладки следует отключить.
На iPhone RuStore не существует, но ряд других российских приложений могут угрожать безопасности: они еще не были изучены, рассказали в «Сетевых Свободах».
Контекст. C апреля 2024 RuStore должен предустанавливается на все телефоны, продаваемые в РФ. С сентября прошлого года правительство также обязало предустанавливать мессенджер Max. 🔗
