«Шпион в кармане»: российский мессенджер Max следит за пользователями и помогает блокировать VPN

Международная исследовательская лаборатория InterSecLab в сотрудничестве с аналитическим центром RKS Global опубликовала результаты изучения российского мессенджера Max.

С сентября 2025 года российские власти сделали мессенджер Max, разработанный компанией VK, обязательным для всех смартфонов и планшетов, продаваемых в России. Параллельно перекрывался доступ к независимым средствам связи: мессенджер Signal заблокировали в августе 2024 года, WhatsApp — в феврале 2026-го, а с марта 2026 года начались массовые блокировки Telegram.

Сегодня Max принудительно внедряется для получения государственных услуг как в России, так и на оккупированных территориях Украины — вплоть до записи детей в школу или записи к врачу. В связи с этим он набирает популярность и среди белорусов — для работы или связи с родственниками в России.

Интерфейс Max почти полностью копирует Telegram, но за ним скрывается инструмент слежки российских спецслужб.

Как эксперты пробились в «закрытую систему» Max

Разработчики Max стремились максимально защитить приложение от внешнего анализа. Он использует закрытый протокол с российской федеральной криптографией от поставщика, лицензированного ФСБ, хранит адреса в зашифрованном виде и сразу завершает работу при обнаружении инструментов исследования.

Чтобы обойти эти барьеры, исследователи проводили изучение на Android-версии 26.12.0 (сборка 6664) в период с марта по май 2026 года. Они создали специальный механизм, который захватывал содержимое сообщений и запросов внутри программы в момент перед его зашифрованием — непосредственно в оперативной памяти смартфона.

Никакой тайны переписки в Max: полное отсутствие сквозного шифрования

В безопасных мессенджерах используется сквозное шифрование (End-to-End Encryption) — ключ от переписки есть только у отправителя и получателя, а серверы видят только зашифрованный набор символов.

В Max сквозного шифрования нет вообще. Все сообщения передаются и хранятся на серверах VK в открытом виде. Каждое текстовое сообщение помечается флажками для проверки сервером на ссылки, голосовые сообщения расшифровываются на серверах VK, а во время звонков разговор пропускается через модуль анализа голоса на телефоне, который VK может дистанционно подменять со своего сервера.

В Max можно следить за всеми — за каждым отдельно

Эксперты называют это управлением функциями с сервера для каждого аккаунта (per-account controls) и считают главным открытием исследования.

Обычно, чтобы в программе появилась новая функция или изменились настройки, пользователь скачивает обновление. В Max сервер VK может дистанционно включить или выключить любые возможности или шпионские функции (зондирование сети, обнаружение VPN, расшифровку голоса, расширенное логирование) для одного пользователя или группы людей без каких-либо уведомлений в интерфейсе.

В результате два человека с одинаковой версией Max могут пользоваться фактически разными программами и даже не догадываться об этом.

Смартфон Max как зонд для нужд цензоров

Max систематически собирает полный отчёт о сетевом окружении: при открытии или переходе в фоновый режим он запрашивает внешний IP-адрес, идентифицирует мобильного оператора, проверяет наличие VPN и доступность ряда ресурсов, в том числе российского портала госуслуг.

Более того, в программе нашли скрытый канал зондирования (network probing):

1. Сервер VK отправляет на телефон зашифрованный список интернет-адресов.
2. Программа начинает самостоятельно и бесшумно «простукивать» каждый адрес из полученного списка с устройства пользователя.
3. Результаты отсылаются на сервер trace-flow.ru в сети VK. Во время тестов канал запускался 19 раз, а среди адресов был сервис push-уведомлений Apple, которого даже не было в исходном коде программы.

Это означает, что российские цензоры используют миллионы телефонов обычных людей как скрытых «разведчиков», чтобы в реальном времени видеть, какой независимый сайт или VPN-сервис работает у разных операторов и в разных регионах, и быстрее его закрывать.

Max: блокировка VPN, слежка по номеру и слив адресной книги

• При обнаружении VPN на устройстве Max сразу прекращает работу и требует отключить защищённое соединение, ставя пользователя перед принудительным выбором между инструментом обхода цензуры и программой для госуслуг.
• При регистрации Max загружает на серверы VK всю адресную книгу (имена и номера) в открытом виде.
• Любой пользователь может запросить информацию по чужому номеру телефона, после чего серверы VK начинают транслировать статус нахождения в сети в реальном времени более 15 минут без уведомления жертвы.

Как минимизировать риски, если Max необходим

Эксперты подчёркивают, что Max нельзя использовать для частной или конфиденциальной переписки. Если программа необходима для госуслуг в России или связи с родственниками, они советуют придерживаться следующих правил:

1. Изоляция программы: Устанавливайте Max в отдельный рабочий профиль Android либо используйте для него отдельный «чистый» смартфон.
2. VPN на роутере: Max ищет VPN именно на смартфоне. Если VPN настроен на домашнем роутере, программа его не видит и не блокирует.

• 0
• 0
• 0
• 0
• 0
• 0
• 0
• 0