Как работает Проверка подозрительных приложений Applore и где её пределы

Прежде чем что-то менять

С чем сверяет проверка

Функция Applore Проверка подозрительных приложений просматривает каждое приложение, установленное на телефоне, и сверяет его со списком угроз тремя способами:

• по имени пакета — уникальному идентификатору, который есть у каждого приложения Android, например com.example.app
• по сертификату подписи — цифровой подписи, которую использует разработчик. Совпадение засчитывается, даже если приложение переименовали.
• по отпечатку файла — коду, который вычисляется из установочного файла приложения на телефоне. Он совпадает с одной конкретной сборкой приложения.

Список угроз объединяет несколько публичных источников:

• индикаторы сталкерского ПО, опубликованные Echap по лицензии CC BY 4.0. Они охватывают сталкерское ПО — приложения, которые продаются для тайной слежки за другим человеком, — и отдельный набор watchware — приложений для мониторинга, таких как родительский контроль или отслеживание сотрудников, которые обычно устанавливаются открыто.
• индикаторы Mobile Verification Toolkit (лицензия MIT), в которых перечислены коммерческие шпионские приложения, задокументированные исследователями.
• опубликованные индикаторы ESET (лицензия BSD 2-Clause) для вредоносных приложений Android.
• небольшой список, который ведёт сам Applore, например тестовые приложения для антивирусов и названия продуктов сталкерского ПО.

Известные вредоносные приложения никогда не сопоставляются только по имени пакета. Перепакованные вредоносные приложения часто повторяют имя популярного приложения, поэтому совпадение по имени могло бы отметить настоящее приложение. Их сопоставляют только по сертификату подписи или точному отпечатку файла.

Как список попадает на телефон. Каждое обновление проверяет человек и публикует его вручную. Applore проверяет наличие нового подписанного списка примерно раз в день, когда телефон в сети. Он проверяет подпись и отклоняет любой файл, который был изменён, повреждён или меньше ожидаемого, и тогда продолжает использовать уже имеющийся список. Копия списка также поставляется вместе с приложением. При проверке обновления скачивается файл, а о ваших приложениях ничего не отправляется.

Ни один из этих источников не полон. Echap прямо пишет, что его индикаторы не являются полным списком сталкерского ПО и что их точность не гарантируется, а новая версия приложения может появиться раньше, чем её внесут в какой-либо список. Поэтому Applore также ищет тревожные признаки.

Результаты Google Play Protect

Если Google Play Protect включён, Applore также спрашивает у него, какие установленные приложения он считает вредоносными, и показывает их в списке, указывая Play Protect как источник. Play Protect — сканер Google, встроенный в телефоны Android с Google Play. Если Play Protect выключен или на телефоне нет сервисов Google Play, эта часть проверки пропускается, а остальная продолжается. Когда Play Protect выключен, Проверка подозрительных приложений показывает подсказку, чтобы вы могли снова его включить. О собственных ограничениях Play Protect рассказано на странице Что проверяет Google Play Protect.

Какие признаки поведения оценивает Applore

Для приложений, которых нет в списке, Applore оценивает признаки, которые часто встречаются у приложений для мониторинга. Каждый из них по отдельности встречается и у обычных приложений.

Установка не из магазина приложений — это условие, а не доказательство само по себе. Приложение, установленное из файла, с видимым значком получает уровень Высокий только тогда, когда его подкрепляет другой сильный признак: скрытый значок, одновременно доступ к специальным возможностям и к уведомлениям, название как у системного приложения, тестовый сертификат разработчика или доступ как минимум к четырём из следующего: микрофон, камера, местоположение, сообщения, журнал звонков и контакты, — при том что оно настроено работать постоянно и запускаться вместе с телефоном. Приложение для записи звонков, которое вы установили сами, может выглядеть как последний случай, поэтому его можно отметить как доверенное.

Копия популярного приложения сама по себе получает уровень Стоит взглянуть: так же выглядят модифицированные версии и официальные загрузки с сайта разработчика. Уровень Высокий она получает только при скрытом значке или доступе к специальным возможностям, уведомлениям или правам администратора устройства.

Applore пропускает системные приложения и себя самого. Приложения, установленные собственной прошивкой производителя телефона, например региональные приложения или приложения оператора, считаются установленными из магазина приложений.

Что означают уровни

Каждому отмеченному приложению присваивается один из этих уровней, теми же словами, что и в приложении:

Известное приложение для мониторингаВысокийСтоит взглянутьНе помечено

• Известное приложение для мониторинга: имя пакета, сертификат подписи или отпечаток файла совпадает с известным сталкерским ПО из списка; известное приложение для мониторинга установлено из файла и скрывает свой значок; или приложение не из магазина использует название известного продукта сталкерского ПО и может пользоваться специальным доступом.
• Высокий: установлено не из магазина приложений и имеет сильные тревожные признаки, например отключённый значок или скрытый значок вместе с доступом к специальным возможностям, уведомлениям или правам администратора устройства. Приложение, которое совпадает с известным вредоносным приложением по сертификату или файлу либо которое Google Play Protect считает вредоносным, тоже получает уровень Высокий, откуда бы оно ни было установлено. Здесь же показывается тестовое приложение для антивирусов с пометкой о безвредной тестовой угрозе.
• Стоит взглянуть: есть некоторые тревожные признаки, или это известное приложение для мониторинга, установленное из магазина приложений. Проверьте его, когда будет время.
• Не помечено: совпадений нет, и признаков недостаточно. Это не доказательство того, что с приложением или телефоном всё в порядке.

В Applore раздел О приложении простыми словами объясняет каждую находку: что приложение может видеть или делать, откуда оно взялось, когда установлено и почему отмечено.

Приложения для мониторинга и сталкерское ПО

Семейные, родительские и корпоративные приложения из Google Play помечаются как приложения для мониторинга, а не как сталкерское ПО. Обычно их устанавливают открыто, и они могут быть законными, но ими также можно злоупотреблять. Приложение, установленное из магазина приложений, может получить максимум уровень Стоит взглянуть, если только оно не совпадает со списком угроз или Play Protect не считает его вредоносным. Разница объясняется на странице Приложения для мониторинга и сталкерское ПО.

Удалено с Play: отдельный список

Applore также показывает раздел Удалено с Play: установленные приложения, которые есть в загружаемом списке приложений, удалённых Google из Google Play за нарушение правил, в основном за рекламное ПО или мошенничество. Это не проверка на шпионские или вредоносные программы, и она отделена от Проверки подозрительных приложений. Она никогда не повышает уровень приложения в проверке на сталкерское ПО и никогда сама по себе не отправляет напоминаний.

Когда выполняются проверки

Applore спрашивает ваше согласие, прежде чем впервые прочитать список ваших приложений. После этого проверки выполняются:

• когда вы открываете Applore
• в фоне по расписанию, включая ежедневную повторную проверку всех установленных приложений
• когда приложения добавляются или обновляются, по мере того как Android сообщает об этих изменениях

Режим энергосбережения Android может откладывать фоновые проверки, поэтому новое приложение может быть проверено не сразу.

Если Applore находит результат Известное приложение для мониторинга или Высокий, он напоминает вам позже и снова, пока вы не займётесь находкой: примерно через час, позже в тот же день, на следующий день, затем ежедневно в течение недели и после этого еженедельно. Если смахнуть напоминание, находка не исчезнет. Находка считается решённой, когда приложение удалено или когда вы отметили его как доверенное, подтвердив PIN-кодом или графическим ключом Блокировки приложений. Результаты Стоит взглянуть показываются в списке без напоминаний.

Чего Applore не может

Кроме того, для некоторых настроек, например доступа к истории использования или показа поверх других приложений, Applore не видит, какой специальный доступ получило другое приложение. Он видит только, что приложение его запрашивало.

Некоторые виды слежки находятся за пределами того, что может увидеть любая проверка приложений:

• закладки в системном ПО телефона или инструменты, которым нужен телефон с root-доступом
• атаки, которым вообще не нужно приложение, например эксплойты без единого клика (zero-click)
• слежка через общий аккаунт или аккаунт, в который выполнен вход, или через облачный сервис. Проверка безопасности проведёт вас по этим настройкам, но не может проверить их за вас.
• сетевой трафик, а также переадресация звонков или сообщений, настроенная через оператора

Что отправляется, а что нет

• Проверка выполняется на вашем телефоне. Обнаружение ничего не загружает о ваших приложениях, а находки остаются на устройстве.
• Обновления списка угроз — только загрузки. Applore получает подписанный список с applore.io. Как любой веб-запрос, это показывает серверу ваш IP-адрес, но ничего не передаёт о ваших приложениях.
• Play Protect опрашивается на телефоне. Если Play Protect включён, Applore спрашивает его через сервисы Google Play на вашем телефоне.
• Имена пакетов не отправляются в аналитику. События аналитики о проверке содержат только количество, а не названия приложений.
• Одно исключение — Категория приложений. Когда вы открываете Категорию приложений в Менеджере приложений, имена пакетов отправляются на сервер Applore, чтобы сгруппировать приложения по категориям. Это отдельная функция, она описана в политике конфиденциальности.
• Отчёт покидает телефон, только если вы им поделитесь. Отчёт с доказательствами создаётся на телефоне и покидает его только через меню «Поделиться» Android, туда, куда вы выберете. См. как поделиться записью о том, что нашёл Applore.

Где получить поддержку

В приложении Applore есть контакты служб поддержки в Индии, США и Великобритании, а также международные варианты. Если вы живёте в другой стране, найдите телефон доверия для пострадавших от домашнего насилия в вашей стране. С чего начать, подскажет страница Телефоны доверия. Если вы в непосредственной опасности, позвоните в местную службу экстренной помощи.

Список сторонних данных и лицензий, которые использует Applore, приведён на странице Благодарности. Все руководства по безопасности собраны в разделе безопасности.