Исследование: RuStore может тихо устанавливать приложения и собирать данные пользователей

Коротко о выводах исследования

По результатам анализа, RuStore может инициировать «тихую» установку приложений без явных запросов и уведомлений для пользователя и регулярно собирать сведения о телефоне и поведении приложений.

Тихая установка

Исследователь отмечает, что магазин способен загружать и устанавливать приложения в фоновом режиме — без явного подтверждения или всплывающих уведомлений, что позволяет, по его мнению, незаметно устанавливать, в том числе, мессенджеры.

Определение местоположения

RuStore, как утверждается, регулярно фиксирует геопозицию устройства даже при отключенном GPS, определяя координаты по сети, сотовым вышкам и MAC‑адресу маршрутизатора. По мнению автора, такой набор данных достаточен для точного геопозиционирования.

Слежение за приложениями и их использованием

В исследовании говорится, что магазин отправляет на серверы «полный слепок» устройства: какие VPN, банковские приложения, защищённые мессенджеры и сторонние магазины установлены, а также привязывает этот список к аппаратному идентификатору и собирает статистику запуска и времени использования приложений.

Доступ к галерее

Аналитик заметил, что встроенный антивирусный SDK в приложении мониторит директории DCIM и Pictures — то есть папки с личными фотографиями пользователя. По его оценке, это результат использования стороннего SDK без должной адаптации к мобильной платформе.

«Мы имеем наглую, ничем не оправданную слежку за вашей активностью»

«В результате получился архитектурный Франкенштейн, нарушающий все мыслимые правила»

Если выводы верны, то уже отправленный на сервер «слепок» устройства привязан к ID и удалить цифровой след будет невозможно.

Как отключить RuStore на Android

Авторы исследования предлагают временное решение с помощью Android Debug Bridge: подключить смартфон к компьютеру в режиме отладки по USB и выполнить в терминале команды:
adb devices
adb shell pm disable‑user --user 0 ru.vk.store
После этого режим отладки следует отключить.

На iPhone RuStore отсутствует, однако, по словам исследователей, ряд других российских приложений ещё не прошёл подробный анализ и может представлять риск для безопасности.

Контекст

С апреля 2024 года RuStore должен предустанавливаться на все продаваемые в России телефоны. Также ранее было принято решение о предустановке определённого мессенджера на устройства, продаваемые в стране.