«Шпіён у кішэні»: расійскі месенджар Max сочыць за карыстальнікамі і дапамагае блакаваць VPN

InterSecLab разам з RKS Global змаглі зазірнуць «пад капот» праграмы і даведаліся, як яна сочыць за карыстальнікамі. Мы вывучылі даследаванне і тлумачым, чаму MAX стаў сродкам татальнага кантролю і чым ён небяспечны.

Ілюстратыўная выява, згенераваная Gemini

Міжнародная даследчая лабараторыя InterSecLab у супрацоўніцтве з аналітычным цэнтрам RKS Global апублікавала вынікі вывучэння расійскага месенджара Max.

З верасня 2025 года расійскія ўлады зрабілі месенджар Max, распрацаваны кампаніяй VK, абавязковым для ўсіх смартфонаў і планшэтаў, якія прадаюцца ў Расіі. Паралельна перакрываўся доступ да незалежных сродкаў сувязі: месенджар Signal заблакавалі ў жніўні 2024 года, WhatsApp — у лютым 2026-га, а з сакавіка 2026 года пачаліся масавыя блакаванні Telegram.

Сёння Max прымусова ўкараняецца для атрымання дзяржаўных паслуг як у Расіі, так і на акупаваных тэрыторыях Украіны — аж да запісу дзяцей у школу ці запісу да доктара. У сувязі з гэтым ён набірае папулярнасць і сярод беларусаў — для працы ці сувязі са сваякамі ў Расіі.

Інтэрфейс Max-а амаль цалкам капіюе Telegram, але за ім хаваецца інструмент сачэння расійскіх спецслужбаў.

Як эксперты прабіліся ў «закрытую сістэму» Max

Распрацоўшчыкі Max імкнуліся максімальна абараніць дадатак ад вонкавага аналізу. Ён выкарыстоўвае закрыты пратакол з расійскай федэральнай крыптаграфіяй ад пастаўшчыка, ліцэнзаванага ФСБ, захоўвае адрасы ў зашыфраваным выглядзе і адразу завяршае працу пры выяўленні інструментаў даследавання.

Каб абысці гэтыя бар'еры, даследчыкі праводзілі вывучэнне на Android-версіі 26.12.0 (зборка 6664) у перыяд з сакавіка па май 2026 года. Яны стварылі адмысловы механізм, які захапляў змесціва паведамленняў і запытаў унутры праграмы ў момант перад яго зашыфраваннем — наўпрост у аператыўнай памяці смартфона.

Ніякай таямніцы перапіскі ў Max: поўная адсутнасць скразнога шыфравання

У бяспечных месенджарах выкарыстоўваецца скразное шыфраванне (End-to-End Encryption) — ключ ад перапіскі ёсць толькі ў адпраўніка і атрымальніка, а серверы бачаць толькі зашыфраваны набор сімвалаў.

У Max скразнога шыфравання няма ўвогуле. Усе паведамленні перадаюцца і захоўваюцца на серверах VK у адкрытым выглядзе. Кожнае тэкставае паведамленне пазначаецца сцяжкамі для праверкі серверам на спасылкі, галасавыя паведамленні расшыфроўваюцца на серверах VK, а падчас званкоў размова прапускаецца праз модуль аналізу голасу на тэлефоне, які VK можа дыстанцыйна падмяняць са свайго сервера.

У Max можна сачыць за ўсімі — за кожным асобна

Эксперты называюць гэта кіраваннем функцыямі з сервера для кожнага акаўнта (per-account controls) і лічаць галоўным адкрыццём даследавання.

Звычайна, каб у праграме з'явілася новая функцыя ці змяніліся налады, карыстальнік спампоўвае абнаўленне. У Max сервер VK можа дыстанцыйна ўключыць ці выключыць любыя магчымасці ці шпіёнскія функцыі (зандаванне сеткі, выяўленне VPN, расшыфроўку голасу, пашыранае лагаванне) для аднаго карыстальніка альбо групы людзей без аніякіх паведамленняў у інтэрфейсе.

У выніку двое людзей з аднолькавай версіяй Max могуць карыстацца фактычна рознымі праграмамі і нават не здагадвацца пра гэта.

Смартфон Max як зонд для патрэб цэнзараў

Max сістэматычна збірае поўную справаздачу пра сеткавае асяроддзе: пры адкрыцці ці пераходзе ў фонавы рэжым ён запытвае знешні IP-адрас, ідэнтыфікуе мабільнага аператара, правярае наяўнасць VPN і даступнасць шэрагу рэсурсаў, у тым ліку расійскага партала дзяржпаслуг.

Больш за тое, у праграме знайшлі скрыты канал зандавання (network probing):

1. Сервер VK адпраўляе на тэлефон зашыфраваны спіс інтэрнэт-адрасоў.
2. Праграма пачынае самастойна і бясшумна «прастукваць» кожны адрас з атрыманага спісу з прылады карыстальніка.
3. Вынікі адсылаюцца на сервер trace-flow.ru у сетцы VK. Падчас тэстаў канал запускаўся 19 разоў, а сярод адрасоў быў сэрвіс push-апавяшчэнняў Apple, якога нават не было ў пачатковым кодзе праграмы.

Гэта азначае, што расійскія цэнзары выкарыстоўваюць мільёны тэлефонаў звычайных людзей як схаваных «разведчыкаў», каб у рэальным часе бачыць, які незалежны сайт ці VPN-сэрвіс працуе ў розных аператараў і ў розных рэгіёнах, і хутчэй яго зачыняць.

Max: блакаванне VPN, сачэнне па нумары і зліў адраснай кнігі

• Пры выяўленні VPN на прыладзе Max адразу спыняе працу і патрабуе адключыць абароненае злучэнне, ставячы карыстальніка перад прымусовым выбарам паміж інструментам абыходу цэнзуры і праграмай для дзяржпаслуг.
• Пры рэгістрацыі Max загружае на серверы VK усю адрасную кнігу (імёны і нумары) у адкрытым выглядзе.
• Любы карыстальнік можа запытаць інфармацыю па чужым нумары тэлефона, пасля чаго серверы VK пачынаюць трансляваць статус знаходжання ў сетцы ў рэальным часе больш за 15 хвілін без апавяшчэння ахвяры.

Як мінімізаваць рызыкі, калі Max неабходны

Эксперты падкрэсліваюць, што Max нельга выкарыстоўваць для прыватнай ці адчувальнай перапіскі. Калі праграма патрэбная для дзяржпаслуг у Расіі ці сувязі са сваякамі, яны раяць прытрымлівацца наступных правіл:

1. Ізаляцыя праграмы: Стаўце Max у асобны працоўны профіль Android альбо выкарыстоўвайце для яго асобны «чысты» смартфон.
2. VPN на роўтары: Max шукае VPN менавіта на смартфоне. Калі VPN настроены на хатнім роўтары, праграма яго не бачыць і не блакуе.

Каментары да артыкула