Поиск по автору:

На Хабре вышел разбор (реверс-инжиниринг) нашего отечественного магазина приложений RuStore.
Автор разбора поковырялся в его исходном коде и обнаружил функции, от которых волосы встают дыбом.

Поскольку оригинальная статья очень техническая, длинная и полна строчек кода, я перевёл её на человеческий язык и собрал главные факты, а также практические советы — что со всем этим делать обычному человеку.

Что интересного нашли внутри RuStore?
1. «Тихая» установка приложений (Классический бэкдор)
Так как RuStore сейчас принудительно предустанавливается на смартфоны в РФ, он имеет в системе высочайшие права. Исследователь обнаружил, что в него заложен механизм скрытой установки софта.

Пример с MAX Messenger:
С сервера может прийти команда (флаг SAK_MAX_MESSENGER_INSTALL), и RuStore в фоновом режиме, без единого уведомления или диалогового окна, скачает и установит этот мессенджер (в котором, к слову, полностью отсутствует безопасное сквозное E2E-шифрование).

Уязвимость «Предзаказов»:
Механизм, задуманный для автоустановки предзаказанных игр, сделан максимально небрежно. Приложение на вашем телефоне вообще не проверяет, предзаказывали ли вы этот софт. Сервер прислал PUSH-сообщение с именем любого пакета — телефон молча его установил. Если сервер взломают (или так решат сверху), на миллионы устройств можно в один клик раскатать вредоносное ПО.

2. Собственная система слежки «Radar»Это не какой-то сторонний рекламный трекер, а собственный код VK, встроенный в RuStore. Он регулярно снимает «снапшот» (срез данных) вашего устройства, бережно копит его в локальной базе данных, а каждые 12 часов выгружает на сервер.

Что они собирают:
Точные геоданные: GPS-координаты, данные сети и последнее известное местоположение.
BSSID всех Wi-Fi роутеров вокруг вас (позволяет определять положение даже с выключенным GPS).
Данные сотовых вышек, оператора SIM-карты, а также статус подключения к VPN и роумингу. Вся эта база перемещений намертво привязывается к вашему userId, vkId и deviceId.

3. Мониторинг вашей активности
RuStore собирает статистику использования приложений (PACKAGE_USAGE_STATS). Он фиксирует, в какие приложения вы заходите, как долго там сидите и в какое время. Отчёты ежедневно улетают аналитикам.
При этом RuStore сканирует и пытается обновлять программы в фоне, даже если вы изначально ставили их из Google Play.

4. Тяжёлый багаж из встроенных SDK
Внутри программы крутится куча сторонних модулей:
Полноценный антивирусный движок от Касперского, который плодит до 19 фоновых потоков и постоянно мониторит ваши медиа-папки.
Система верификации от Mail,ru, умеющая читать входящие SMS-коды и перехватывать проверочные сброс-звонки (flash-calls).

Что делать простым людям?
Инструкция по защите
Полноценно пользоваться таким комбайном слежки небезопасно для приватности и батареи смартфона. Вот что можно сделать прямо сейчас:
Вариант 1. Ограничение прав (Если RuStore вам нужен)
Если вы иногда качаете оттуда приложения банков, зажмите иконку RuStore -> О приложении (или значок "i") -> Разрешения:
Запретите доступ к Местоположению (Геопозиции) — это полностью ослепит подсистему «Radar».
Запретите доступ к SMS и Телефону — чтобы встроенные модули не читали ваши коды авторизации.
Найдите пункт «Установка неизвестных приложений» (или «Внешние источники») в настройках этого приложения и переведите тумблер в «Запрещено». Это может заблокировать «тихую» установку приложений в обход вашего согласия.
Внутри самого RuStore зайдите в его настройки и выключите «Автообновление приложений», а в настройках Android ограничьте ему «Передачу данных в фоне» и выставите режим батареи «Ограничено».

Вариант 2. Полное удаление через ПК (Рекомендуется)
Если RuStore зашит в ваш смартфон как системный и обычным способом не удаляется, его можно снести через компьютер с помощью утилиты ADB (Android Debug Bridge). Это абсолютно безопасно для телефона.
Включите на телефоне «Отладку по USB».
Подключите к ПК, откройте консоль ADB и введите команду: adb shell pm uninstall -k --user 0 ru.vk.store
Приложение полностью исчезнет из системы для вашего пользователя, фоновые процессы и сбор «радарных» данных прекратятся.

Вариант 3. Переход на безопасные альтернативы
Для обновления приложений и банковских клиентов лучше использовать более прозрачные и чистые альтернативы:
Aurora Store — неофициальный и конфиденциальный клиент для Google Play с открытым исходным кодом (позволяет скачивать всё без аккаунта Google).
F-Droid — каталог приложений с полностью открытым исходным кодом (Open Source), где жестко следят за отсутствием трекеров и скрытых функций.

1) В Индии функционирует одна из крупнейших железнодорожных сетей в мире, насчитывающая около 11 452 локомотивов.

2) В некоторые периоды (например, 2015–2017 гг.) жертвами поездов становились почти 50 000 человек в год.

3) В среднем речь идет о 11 000–13 000 погибших в год от поражения электрическим током. (уже поезда вырываются вперёд).

4) В Индии классифицировано 3880 электростанций.

Вывод: средний машинист в Индии сбивает по 5 индийцев в год, а от электричества погибает всего по 3 индийца на электростанцию, вообще в пределах статистической погрешности, по сравнению с машинистами, явными жрецами Кали.

Даже если расчёты ошибочны в 5 раз и средний машинист сбивает по 1 индийцу в год, за всю карьеру он оборачивает на колесе Сансары примерно 25 человек.

В Ижевске арестовали троих подростков, которые пытались заложить взрывное устройство у проходной одного из оборонных предприятий, сообщила журналистам официальный представитель СК Светлана Петренко.
По словам Петренко, подросткам 15, 16 и 17 лет. В июле они в поисках быстрого заработка вступили в мессенджере в контакт, предположительно c представителем украинских спецслужб. Он дал им задание совершить теракт на объекте ВПК в Ижевске.
Теперь их обвиняют в покушении на теракт. Это тяжкое деяние с соответствующим наказанием
"Детишки" решили подзаработать на человеческих жизнях...

Позволю себе пофантазировать на тему наказания
Я хотел бы, чтобы эти задержанные посмотрели в глаза тем, кого они пытались лишить жизни, простым труженикам разного возраста и пола
И чтоб это не было однократно
Короче, чтобы они стояли около этой проходной с плакатом
"Я пытался вас убить из-за денег"
ну или вроде этого
Утром, когда люди идут на работу
И вечером тоже
Чтобы их прям привозили туда каждый божий день
Чтобы потенциальные жертвы их деяния говорили с ними
Это был бы очень интересный и поучительный опыт для неудавшихся, трахнутых в анус террористов..

Чем больше наука объясняет, тем меньше остаётся места, где «работает» Бог.
Этот эффект в богословии даже получил официальное название — «Бог пробелов» (God of the gaps), термин закрепил в XIX веке шотландский богослов Генри Драммонд, а позже его использовал (уже с критикой) немецкий теолог Дитрих Бонхёффер в письмах из тюрьмы в 1944 году: он писал, что богословие не должно прятаться в тех дырках, которые наука пока не заполнила, потому что наука их закрывает одну за другой.
Раньше засуха — гнев богов, чума — расплата за грехи, молния — стрела Зевса.
Сегодня это климатология, вирусология и физика атмосферы. Бог не исчез — просто территория, где он «нужен», методично сжимается с каждым новым открытием.

В христианской вере есть логическая ошибка, придающая большое значение вере в Бога/Иисуса, не учитывая вытекающие из этого последствия.
Можно утверждать, что независимо от того, существует этот бог или нет, хорош он или плох, вера в него не имеет никакого значения.

Предположим, вы атеист, который не верит в Бога из-за отсутствия убедительных доказательств.
Бог либо существует, либо его нет.
Если его не существует, то не имеет значения, верите ли вы в Бога или нет.
Если Бог существует, то либо ему важно, верите ли вы в него, либо нет.
Если ему все равно, то не имеет значения, верите ли вы в Бога или нет.
Если Бог существует и Ему важно, чтобы вы в Него верили, то Бог либо добр, либо не добр.
Если он хороший, то он поймет, что вы не верите в него из-за отсутствия убедительных доказательств, поэтому не имеет значения, верите ли вы в Бога или нет.
Если он нехорош, то у всех будут проблемы, независимо от того, верят они в Бога или нет.
Если у всех проблемы, независимо от того, верят они в Бога или нет, то не имеет значения, верите вы в Бога или нет.

Поэтому не имеет значения, верите ли вы в Бога или нет.

Этот силлогизм проливает свет на тот факт, что ни один добрый, всезнающий бог не стал бы наказывать человека, отрицающего его существование на основании здравого смысла [за что Яхве нес бы ответственность, скрывая доказательства своего существования].
Поэтому наказание этим богом неверующих означало бы, что он злой. А злой бог не сулит ничего хорошего даже тем, кто собирается на небеса.

Меня всегда удивляли упертые христиане, которые вроде как читают Библию, точнее ее еврейскую часть и прекрасно видят, что бог Яхве настоящий упырь, кровожадный убийца, маньяк - геноцидник, любящий вдыхать аромат горящих трупов крупного и мелкого рогатого скота.
И все-равно они такие - бог есть любовь, это наш отец, он нас любит и в рай заберет.
С фига ли он вас любит, идиоты?
Он своих евреев то не очень жалует, а уж про гоев и речь не идет.
Главное ведь им специально такую книгу конкретную засунули под одну обложку со сказкой про условно доброго Иисуса, чтобы не обольщались особо.

— Есть предложение: обязать всех продавцов ставить Max предустановленным.
— Отлично. Кто у нас производит телефоны?
— Никто.
— Значит, обяжем тех, кто продает чужие. Дальше.
— Еще вариант — штраф. Крупный, оборотный.
— Кому выставляем?
— Юрлицу.
— А юрлица нет, оно ушло четыре года назад.
— Тогда выставим юрлицу, которого нет. И начислим пени.
— За что?
— За неуплату штрафа... и за препятствование в его получении. Это дисциплинирует.
— Кого?
— Всех, кто читает новости.
— Есть и третий вариант. Перекрыть оплату подписок через операторов.
— Вот это по-нашему. Рублем — самый действенный метод.
— Только тогда граждане не смогут платить ни за облако, ни за приложения для учёбы, ни за что вообще.
— Ничего страшного, предупредим заранее.
— О чём?
— Чтобы пополнили счёт на год вперед. А лучше на два.
— Подождите. То есть чтобы наказать Google, мы просим граждан отправить Google денег побольше и пораньше?
— Именно.
— А наказание в каком месте?
— В стратегическом.
— Хорошо, я спрошу иначе. Что получит Google в результате этой меры?
— Деньги.
— А что получим мы?
— Опыт.
— И кто это придумал?
— Лучшие специалисты по превентивному экономическому давлению в стране.
— Это те, которые утильсбор подняли?
— Всё, вопрос закрыт. Переходим к следующему пункту — давление на Telegram...

После подсказки коллективного разума пострадавший от "схемы долиной" провернул одну вещь...
Бабку, которая вернула квартиру, но зажала деньги, через суд хотели признать недееспособной...
Узнав что в этом случае она не сможет распоряжаться своим имуществом и попадет в полную зависимость от опеки, бабка тут же вернула деньги.
Тем кому это действительно надо, обратитесь в свой ПНД..
Там вам все расскажут.
Реально работает.
Не благодарите.

Роскомнадзор проводит длительную работу по выявлению мошенников, блокируя всё больше доступных для них средств связи, он загоняет всех жуликов в принадлежащий силовым структурам мессенджер МАХ, и вот когда они все будут там, тут то их разом роскомнадзор и заблокирует...