Кратко о выводах исследования:
- RuStore может инициировать «тихую» установку приложений без уведомлений пользователя.
- Магазин регулярно фиксирует местоположение — в том числе по сети, сотовым вышкам и MAC‑адресу роутера — даже при отключённом GPS.
- Собирается «слепок» устройства: список установленных приложений (банки, VPN, мессенджеры и пр.) с привязкой к аппаратному ID и данными об использовании.
- В состав магазина включён Kaspersky SDK, который мониторит каталоги с фотографиями (DCIM, Pictures).
- Отправленные на серверы данные, по оценке автора, уже привязаны к устройству и не подлежат удалению простыми средствами.
Тихая установка приложений
В исследовании отмечается, что магазин способен проводить «тихую» установку: пользователю не показывают запросы и уведомления при добавлении новых приложений. По мнению автора, именно таким способом на телефоны могла попасть предустановленная версия мессенджера.
Отслеживание местоположения
Магазин регулярно собирает координаты устройства не только от спутника, но и по сети, сотовым вышкам и MAC‑адресу роутера. По оценке исследователя, этот набор данных обеспечивает достаточно точное геопозиционирование даже при выключенном GPS.
Слежка за приложениями и «слепок» устройства
Сбор данных включает полный перечень установленных приложений — банки, VPN, защищённые мессенджеры, сторонние магазины — с привязкой к аппаратному идентификатору и информацией о том, как часто и как долго они запускаются.
Доступ к галерее через встроенный SDK
Внутри приложения обнаружен антивирусный SDK, который постоянно мониторит директории с фотографиями пользователя (DCIM, Pictures). Автор называет архитектуру решения «франкенштейном» из‑за сочетания компонентов, разработанных для других платформ.
Можно ли удалить цифровой отпечаток?
Если выводы исследования верны, то уже отправленный «слепок» устройства привязан к аппаратному ID и простым действиям вроде удаления приложения не поддаётся — данные остаются на серверах.
Как временно отключить RuStore на Android
Исследователь рекомендует временно отключить приложение через Android Debug Bridge. Для этого подключите смартфон по USB в режиме отладки и выполните в терминале команды:adb devicesadb shell pm disable‑user --user 0 ru.vk.store
После выполнения рекомендуется выключить режим отладки.
Контекст
С апреля 2024 года магазин заявлен к предустановке на все телефоны, продаваемые в России. С сентября прошлого года также действует норма о предустановке указанного мессенджера.
