MAX и RuStore: что показал реверс-инжиниринг кода (Анализ «шпионского» функционала и разбор нарушений законодательства).

Исследователь zarazaexe опубликовал на Habr два технических разбора — мессенджера MAX и магазина приложений RuStore. Оба основаны на декомпиляции APK; ниже — только то, что подтверждается конкретными вызовами в коде. Это разбор независимого автора, а не итог официальной проверки, и часть выводов вендоры комментировали (см. ниже). Но расхождение между официальными заявлениями и зафиксированным в коде поведением — само по себе предмет для разговора.

Контекст. RuStore обязателен к предустановке на устройства в РФ с 1 апреля 2024 (с 1 сентября 2025 — и на iOS). MAX (ru.oneme.app) обязателен к предустановке как «национальный мессенджер» с 1 сентября 2025; на декабрь 2025 — около 75 млн пользователей; сквозного (E2E) шифрования нет. Оба продукта — экосистема VK.

🔻 Что зафиксировано в коде MAX
• Адресная книга в реальном времени. Подписка на корень телефонной книги; серверу уходит её размер и хеши номеров — в том числе тех людей, кто MAX не пользуется. Частоту и размер выгрузки задаёт сервер.

• Передача номера по открытому HTTP. Для авторизации без SMS номер абонента (Mobile ID) запрашивается у операторов по незашифрованному HTTP — шесть операторских доменов специально вынесены в исключения из запрета cleartext-трафика. Тот же канал доступен встроенным мини-приложениям без видимого диалога согласия.

• Скрытый модуль trace_flow (DPS). Обфусцированный SDK при каждом возврате приложения из фона определяет реальный внешний IP (в обход VPN) и отправляет User ID, Device ID, IP, флаг VPN и оператора на домен trace-flow.ru, отсутствующий в политике конфиденциальности.

• Управление по команде сервера. Серверные флаги позволяют: удалить сообщение из локальной базы устройства скрытым push; запросить координаты «тихим» push; отключить проверку TLS-сессии (net-ssl-session-validate); принудительно собрать контакты и выгрузить логи устройства (до 32 МБ).

• Запись звука в звонке. В кастомном WebRTC присутствует функция, которой сервер во время звонка может инициировать запись сырого звука с микрофона без индикации в интерфейсе. Запись звонков по умолчанию помечена как «публичная»; при отсутствии E2E это означает доступ сервера.

• Встроенный ML-стек. На устройстве присутствовал embedded-рантайм для распознавания речи, детекции ключевых слов и идентификации говорящего по голосу. В версии 26.16.0 модуль детекции ключевых слов удалён, но инфраструктура загрузки моделей с сервера сохранена.

• Несбрасываемый идентификатор. Для отслеживания используется ID из защищённой зоны процессора (Widevine DRM / TEE), который не сбрасывается при переустановке приложения, смене аккаунта и сбросе до заводских настроек.

• Детекция VPN и Force Update мимо Google Play. По команде сервера приложение может блокировать доступ к чатам при включённом VPN и принудительно ставить обновление со своего CDN.

🔻 Что зафиксировано в коде RuStore

• Тихая установка MAX и не только. Установка MAX запускается серверным флагом через привилегированный установщик с параметром «без действия пользователя». Отдельный канал preorder/autoinstall позволяет установить любой пакет по push без проверки того, оформлял ли пользователь предзаказ: какой пакет назовёт сервер, тот и ставится в фоне.

• Подсистема Radar — история ВАШИХ перемещений. Локальная база хранит идентификатор пользователя, три геофикса (GPS, по сети, последний известный), MAC-адрес Wi-Fi-роутера, список сотовых вышек, оператора SIM, признак роуминга и факт включённого VPN. При активации — снимок раз в ~2 минуты, хранение до 15 суток, выгрузка на серверы VK.

• Инвентаризация и статистика. На сервер уходит список установленных приложений (привязка к несбрасываемому ANDROID_ID, без версий — то есть для заявленной «проверки обновлений» этих данных недостаточно) и статистика использования (что и когда вы открываете), в том числе без входа в аккаунт.

Продолжение в комментариях...