Песочница. Часть вторая.

[imjohnsmith]

Сообщение от Mrs.Nobody

Прям,дословно вспоминается?Ну,и скукотишшша у вас..,,Я интересуюсь, Горпина До… До…
— Дормидонтовна.
— До-ре-ми-донтовна. У вас бывают мигрени?
— У нас никого не бывает. Одна только скука.
— Я вам заявляю совершенно официально — скуки больше не будет. Мы её — бац, бац! И мимо. Я человек бывалый, танцую, много песен знаю."

опа-опа! ))

[rustic]

Опять квн включать?

Шульц вообще вещает, как из Лондона

[imjohnsmith]

Когда маленький был - в нашем доме еще сосед жил с фамилией Быков.
Потом умер. Родители, помню, шептались - Быков умер...
А я подумал - артист Быков умер. Жалел очень.

[dmitrijshulc]

Сообщение от rustic

Шульц вообще вещает, как из Лондона

из него, Джона Гриффита.. и это не город на острове.

п.с. не стало одной красивой женщины :-/
RIP

[rustic]

Сообщение от dmitrijshulc

из него, Джона Гриффита..

ъъъ

[Zalcburg]

https://habr.com/ru/articles/1046710/

С 1 апреля 2024 RuStore пред устанавливается на все телефоны, продаваемые в РФ.
Ну вот я Макс реверсил, решил заодно и RuStor поревесить.

Справка: без нашего ведома и согласия в фоне скачивается и устанавливается MAX - правительственный мессенджер, в котором полностью отсутствует E2E-шифрование. Подобное поведение абсолютно недопустимо ни по правилам Android для доверенных каталогов, ни по стандартам любого адекватного магазина приложений.

Push с сервера запускает тихую установку приложения по имени пакета
Установка MAX это не единственный путь, которым сервер инициирует установку. В отдельной фиче ru.vk.store.feature.preorder.autoinstall установка запускается обычным push-сообщением.

Справка: в систему зашит классический бэкдор. Отсутствие на клиенте элементарной проверки того, действительно ли вы запрашивали это приложение, превращает механизм в инструмент принудительной дистрибуции. Серверу достаточно отправить Push-сигнал, чтобы скрытно раскатать любой софт на миллионы устройств. По стандартам безопасности любого адекватного магазина приложений по типу Fdroid или Auroraoss - тихая установка нового ПО без явного согласия пользователя - это абсолютно недопустимый произвол.

RuStore несёт собственную подсистему телеметрии Radar (пакет ru.vk.store.lib.analytics.system.radar). Это собственный код магазина (не сторонний SDK). Radar периодически снимает «снапшот» устройства, складывает его в локальную базу SQLite и раз в 12 часов выгружает накопленное на сервер.

Справка: С точки зрения здравого смысла и базовой приватности, каталогу приложений для работы абсолютно не нужны ваши точные координаты, MAC-адреса роутеров и данные сотовых вышек каждые 2 минуты. Никакой технической необходимости для скачивания программ в этом нет. По факту, под видом системного магазина в ваш телефон просто вшит полноценный GPS-маячок. Он непрерывно пишет подробную историю ваших перемещений и намертво привязывает её к аппаратному ID устройства.

Список приложений уходит на сервер VK при запуске
При старте и периодически в фоне RuStore собирает список установленных пакетов и отправляет его на сервер.

Справка: Казалось бы, любому магазину нужен список установленных пакетов, чтобы проверять наличие обновлений. Но разработчики даже не удосужились прикрыться этой отговоркой. В данных, которые улетают на сервер, передаются только названия пакетов - без их версий. А не зная текущую версию приложения, предложить обновление технически невозможно. Это прямо доказывает, что рутинная системная функция используется исключительно для тотальной инвентаризации. RuStore регулярно сливает на серверы VK полный слепок вашего устройства: какие VPN вы используете, какие банки, защищенные мессенджеры или сторонние магазины у вас стоят. Весь этот список намертво привязывается к аппаратному ID смартфона (ANDROID_ID).

Справка: Данные о том, как часто и как долго вы пользуетесь приложениями (Usage Stats) - это сверхчувствительная информация. Тайминги запуска ваших мессенджеров, VPN и банков сливаются в систему аналитики и намертво привязываются к несбрасываемому аппаратному ID вашего смартфона. Разработчики могли бы сказать: «Ну это же просто для безобидной фичи меню 'Время в играх'!». Только вот RuStore мониторит экранное время вообще всех ваших приложений, а не только игр, и выгружает всё это на свои серверы, вместо того чтобы считать локально на устройстве. Тогда вы могли бы возразить: «Наверное, это нужно для облачной синхронизации между моими устройствами?». И снова мимо: этот агрессивный сбор и отправка статистики работают на полную катушку, даже если вы вообще не вошли в аккаунт. Никакой синхронизацией тут и не пахнет. Мы имеем наглую, ничем не оправданную слежку за вашей активностью.

Справка: Начиная с Android 10, сама операционная система жестко блокирует доступ к неизменяемым аппаратным идентификаторам (IMEI, IMSI, ICCID). Логика защиты банальна: никто не должен иметь возможность следить за вами по серийным номерам «железа», даже Google этичнее VK. Но RuStore плевать хотел на эти ограничения ОС. Используя свои системные привилегии и грязную рефлексию скрытых методов, они банально обходят блокировки Android и вытаскивают эти номера из модема. А чтобы мало не показалось, стор заодно тащит из системы ваш Google GSF ID. В итоге формируется пожизненный аппаратный слепок пользователя. Вы можете выходить из аккаунтов, менять симки и даже делать полный сброс устройства (Factory Reset) - это уже не поможет. Ваша железка помечена навсегда, и отвязать свой реальный профиль от этого телефона вы больше не сможете.

Итого
RuStore это магазин с глубокой телеметрией экосистемы VK и набором тяжёлых сторонних SDK. Подтверждается:

сбор списка лаунчабл-приложений с привязкой к ANDROID_ID;

собственная подсистема Radar: локальная база snapshot_records с userId, тремя геофиксами, MAC роутера, списком сотовых вышек, оператором SIM, роумингом и флагом VPN; при включении снимок раз в 2 минуты, хранение 15 дней, выгрузка на POST reef.vk-cdn.net/ru-vk-store/stat/v1/ev;

фоновое авто-обновление любого приложения на устройстве (не только из RuStore) через привилегированный установщик, по умолчанию включено;

сбор статистики использования приложений (какими приложениями и когда вы пользуетесь) через PACKAGE_USAGE_STATS и выгрузка на api.rustore.ru (AltCraft) с привязкой к userId + vkId + deviceId;

AIDL-раздача VK-токенов без диалога;

серверно-управляемая установка MAX через привилегированный установщик;

серверный канал «push -> тихая фоновая установка пакета по имени» в фиче preorder/autoinstall;

реестр из 73 удалённых тогглов, которыми поведение клиента переключается с сервера;

чтение аппаратных идентификаторов (IMEI, IMSI, ICCID) силами kavsdk и libverify;

полноценный Kaspersky-движок с KSN-телеметрией, P2P-каналом и классификацией приложений.

Я не технарь, но вот така фигня получается.

[dmitrijshulc]

вчера одного блогера паникёра глянул (с бигтехом связан), сильно максиком недоволен. а у кого оно установлено, удаляйте срочно, подальше от греха. опять же наличие эксплойтов в мессенджере..

зы. кто желает лампового просмотра кино, https://www.securitylab.ru/news/573649.php

[imjohnsmith]

[dmitrijshulc]

а японцы скоро вымрут, с 20й минуты для аудиофилов и винил, комменты порой по делу нмв,
https://youtu.be/uq2fC_jnJrg?si=6gwFwC1u-cmfDzAz

[Zalcburg]

https://alfabank.ru/alfa-investor/po...-0050569e1fd0/

Убыточная VK выплачивает сотни миллионов рублей бонусов своим менеджерам, выяснила «Верстка» (в реестре иноагентов в РФ). Генеральный директор VK Владимир Кириенко за период с июля 2024 года по август 2025 года получил около 543 млн рублей. Его средний месячный доход с учётом бонусов — почти 45 млн рублей, зарплата — 9 млн рублей.

Заместитель генерального директора VK Степан Ковальчук за год получил около 465 млн рублей. Он зарабатывает более 8,4 млн рублей в месяц, а размер бонусов превышает 160 млн рублей. Ещё один получатель крупных выплат — заместитель директора департамента развития бизнеса VK Богдан Сидоренко. За год он получил более 40 млн рублей, месячная зарплата — около 1,4 млн рублей. Такие же бонусы и зарплаты получают все топ-менеджеры корпорации. При этом сама корпорация остаётся убыточной. В 2025 году её чистый убыток составил около 25 млрд рублей, годом ранее — почти 95 млрд.

https://www.kommersant.ru/doc/8632840

На развитие национальной видеоплатформы VK (MOEX: VKCO) в прошлом году государство выделило 39,5 млрд руб., еще 4 млрд руб. было направлено на цели и задачи «многофункционального сервиса обмена информацией»

Государство - это же деньги налогоплательщиков, правильно?
Какой же я щедрый.