Поиск по автору:

Стукаться яйцами на Пасху в этом году нужно с криком "Поехали!"

На Хабре вышел разбор (реверс-инжиниринг) нашего отечественного магазина приложений RuStore.
Автор разбора поковырялся в его исходном коде и обнаружил функции, от которых волосы встают дыбом.

Поскольку оригинальная статья очень техническая, длинная и полна строчек кода, я перевёл её на человеческий язык и собрал главные факты, а также практические советы — что со всем этим делать обычному человеку.

Что интересного нашли внутри RuStore?
1. «Тихая» установка приложений (Классический бэкдор)
Так как RuStore сейчас принудительно предустанавливается на смартфоны в РФ, он имеет в системе высочайшие права. Исследователь обнаружил, что в него заложен механизм скрытой установки софта.

Пример с MAX Messenger:
С сервера может прийти команда (флаг SAK_MAX_MESSENGER_INSTALL), и RuStore в фоновом режиме, без единого уведомления или диалогового окна, скачает и установит этот мессенджер (в котором, к слову, полностью отсутствует безопасное сквозное E2E-шифрование).

Уязвимость «Предзаказов»:
Механизм, задуманный для автоустановки предзаказанных игр, сделан максимально небрежно. Приложение на вашем телефоне вообще не проверяет, предзаказывали ли вы этот софт. Сервер прислал PUSH-сообщение с именем любого пакета — телефон молча его установил. Если сервер взломают (или так решат сверху), на миллионы устройств можно в один клик раскатать вредоносное ПО.

2. Собственная система слежки «Radar»Это не какой-то сторонний рекламный трекер, а собственный код VK, встроенный в RuStore. Он регулярно снимает «снапшот» (срез данных) вашего устройства, бережно копит его в локальной базе данных, а каждые 12 часов выгружает на сервер.

Что они собирают:
Точные геоданные: GPS-координаты, данные сети и последнее известное местоположение.
BSSID всех Wi-Fi роутеров вокруг вас (позволяет определять положение даже с выключенным GPS).
Данные сотовых вышек, оператора SIM-карты, а также статус подключения к VPN и роумингу. Вся эта база перемещений намертво привязывается к вашему userId, vkId и deviceId.

3. Мониторинг вашей активности
RuStore собирает статистику использования приложений (PACKAGE_USAGE_STATS). Он фиксирует, в какие приложения вы заходите, как долго там сидите и в какое время. Отчёты ежедневно улетают аналитикам.
При этом RuStore сканирует и пытается обновлять программы в фоне, даже если вы изначально ставили их из Google Play.

4. Тяжёлый багаж из встроенных SDK
Внутри программы крутится куча сторонних модулей:
Полноценный антивирусный движок от Касперского, который плодит до 19 фоновых потоков и постоянно мониторит ваши медиа-папки.
Система верификации от Mail,ru, умеющая читать входящие SMS-коды и перехватывать проверочные сброс-звонки (flash-calls).

Что делать простым людям?
Инструкция по защите
Полноценно пользоваться таким комбайном слежки небезопасно для приватности и батареи смартфона. Вот что можно сделать прямо сейчас:
Вариант 1. Ограничение прав (Если RuStore вам нужен)
Если вы иногда качаете оттуда приложения банков, зажмите иконку RuStore -> О приложении (или значок "i") -> Разрешения:
Запретите доступ к Местоположению (Геопозиции) — это полностью ослепит подсистему «Radar».
Запретите доступ к SMS и Телефону — чтобы встроенные модули не читали ваши коды авторизации.
Найдите пункт «Установка неизвестных приложений» (или «Внешние источники») в настройках этого приложения и переведите тумблер в «Запрещено». Это может заблокировать «тихую» установку приложений в обход вашего согласия.
Внутри самого RuStore зайдите в его настройки и выключите «Автообновление приложений», а в настройках Android ограничьте ему «Передачу данных в фоне» и выставите режим батареи «Ограничено».

Вариант 2. Полное удаление через ПК (Рекомендуется)
Если RuStore зашит в ваш смартфон как системный и обычным способом не удаляется, его можно снести через компьютер с помощью утилиты ADB (Android Debug Bridge). Это абсолютно безопасно для телефона.
Включите на телефоне «Отладку по USB».
Подключите к ПК, откройте консоль ADB и введите команду: adb shell pm uninstall -k --user 0 ru.vk.store
Приложение полностью исчезнет из системы для вашего пользователя, фоновые процессы и сбор «радарных» данных прекратятся.

Вариант 3. Переход на безопасные альтернативы
Для обновления приложений и банковских клиентов лучше использовать более прозрачные и чистые альтернативы:
Aurora Store — неофициальный и конфиденциальный клиент для Google Play с открытым исходным кодом (позволяет скачивать всё без аккаунта Google).
F-Droid — каталог приложений с полностью открытым исходным кодом (Open Source), где жестко следят за отсутствием трекеров и скрытых функций.

Главное в жизни - поддержка!
Поддержка артилерии и авиации...

Привыкли у нас Сталина ругать, а ведь под руководством Иосифа Виссарионовича Советский Союз превратился в могучую державу, а его граждане - стали одними из самых образованных в мире. Количество жителей страны увеличилось на 41 миллион человек.

Промышленный скачок

В СССР было построено более 1500 крупных промышленных объектов, включая такие известные, как Днепровская ГЭС, Уралмаш, Харьковский тракторный завод, Горьковский автомобильный завод, а также металлургические гиганты в Магнитогорске, Челябинске, Норильске и Сталинграде.
Уже к 1947 году промышленность СССР, разрушенная войной, была полностью восстановлена.
К 1950 году её объём вырос в два раза по сравнению с довоенным 1940 годом.

Забота о народе

За пять послевоенных лет цены на основные продукты питания снизились более чем в два раза.
В то время как западные эксперты предсказывали восстановление экономики СССР до уровня 1940 года только к 1965 году (и то при условии международных займов), Советский Союз достиг этого показателя уже в 1949 году, полностью самостоятельно.
В 1947 году была отменена карточная система. Цены на товары и продукты ежегодно снижались с 1948 по 1954 год.
Детская смертность сократилась более чем в два раза по сравнению с 1940 годом.
Число врачей увеличилось в полтора раза, научных учреждений — на 40%, а студентов в высших учебных заведениях — на 50%.

Уровень жизни и научные достижения

Заработная плата рабочих в 1953 году составляла от 800 до 3000 рублей и выше. Шахтёры и металлурги могли зарабатывать до 8000 рублей. Молодые инженеры получали до 1300 рублей.
С 1946 года в СССР началась активная работа над созданием атомного оружия и освоением атомной энергетики, развитием ракетной техники, внедрением вычислительной техники и электроники, подготовкой к космическим полётам и газификацией страны.
СССР первым в мире запустил атомную электростанцию (на год раньше Англии и на два года раньше США), а также создал уникальные атомные ледоколы.

Итоги пятилетки (1946-1950)

За одну пятилетку, в период напряжённого противостояния с крупнейшими капиталистическими странами и без внешней помощи, Советский Союз решил три важнейшие задачи:
Восстановил народное хозяйство.
Обеспечил стабильный рост уровня жизни населения.
Совершил экономический прорыв, заложив основу для будущего развития.

Даже сейчас, как утверждается, многие достижения в науке, промышленности и других сферах жизни страны основаны на заложенном в тот период фундаменте.

Фото про всеми "любимую дешевую" Турцию. На нём изображена бедная овдовевшая армянка с детьми. Её муж был убит во время армянской резни 1894-1896 годов. Современные оценки числа жертв геноцида армян разнятся от семисот тысяч до более двух миллионов армян.

При этом, и сегодня эта страна отрицает армянский геноцид как факт. Правительство Турции ежегодно тратит внушительные суммы (по 2-3 000 000$) на пиар-кампании по отрицанию и делает пожертвования университетам, обеспечивающим правдоподобность турецкой позиции.

Прямо сейчас, если зайти в "ненаши" соцсети, можно увидеть, как немцы рассказывают про зверства и преступления Красной Армии, про 100500 миллионов изнасилованных немок, убитых бабушек и про пудельков, раздавленных советскими тридцатьчетверками...
Как финны рассказывают про то, как они уже один раз побеждали Россию и не против сделать это снова.
И как им весело подпёздывают и поляки с прибалтами, рассказывая всем, как они тоже побеждали Советский союз и как уничтожали сотни и сотни миллионов большевиков...
Подача, собственно, одна: "когда Европа под угрозой - давайте помнить и эту собственную историю".
В результате практически под каждым из таких постов появляются другие немцы, другие финны и другие поляки со словами "что же ты за мразь такая, и какого хера ты тут пиздИшь, как макрон".

Но в общем благодарности от этих полупидоров в полукедах не будет никогда.
Представьте, что в момент ужасающей беды к вам пришел на помощь самый угрюмый и нелюдимый сосед, над которым вы в быту посмеивались и подшучивали за спиной.
А сосед, помогая вам, потерял глаз и руку.
Сосед остался таким же угрюмым.
Ничего взамен не хотел и не требовал, но, сука, его глаз и его рука каждый день оставались этим ужасным напоминанием - ты должен.
И не деньги, ни что-то еще этого не окупят.
Ты просто должен по жизни.
И, вместо того, чтобы с этим долгом жить - ты стал и сам думать, и другим нашептывать "смотрите, какой урод" и "убийца".
По-любому насиловал еще кого-то в тайге своей, и отбирал тюленей у касаток и белых медведей...

Как бы мы ни залечились, сколько бы времени ни прошло, Россия навсегда останется для соседей этой дыркой в глазу и напоминанием.
С Праздником, друзья!

Мы, понятно, не забудем, но уж и они ТОЧНО не забудут.

P.S. и им это пиздец как не нравится...