Общий отчёт по анализу приложения "Макс". MAX deep analysis of the messenger

Общая информация о приложении "Макс": Приложение "Макс" позиционируется как быстрый и лёгкий мессенджер для общения. Заявлены функции высокого качества звонков, анимированные стикеры, отправка файлов до 4 ГБ, а также наличие чат-ботов и мини-приложений. Распространяется на различных платформах: Android (через Google Play, RuStore, AppGallery), iOS (через App Store) и десктопные версии. Заявленный пакет приложения - ru.oneme.app (согласно AndroidManifest.xml).

Обфускация кода: Значительная часть кода приложения, особенно в модуле com.my.tracker.obfuscated, подвергнута обфускации. Имена классов (e0, c1, y2, b3, f1 и т.д.), методов (a(), b(), c()) и переменных в этих обфусцированных файлах являются бессмысленными и короткими, что делает анализ логики работы приложения крайне затруднительным без деобфускации. Обфускация часто используется для затруднения обратной разработки и скрытия истинных функций кода.


Собираемые данные (модуль MyTracker): Модуль com.my.tracker (судя по MyTracker.java, MyTrackerConfig.java, MyTrackerParams.java) отвечает за обширный сбор пользовательских данных и событий.

Основные категории собираемых данных:

Пользовательские события:

Рекламные события (trackAdEvent): Информация о взаимодействии с рекламой.
События покупок (trackAppGalleryPurchaseEvent, trackPurchaseEvent): Детали о приобретениях, включая ID продукта, цены, валюты, и дополнительные параметры.
Общие пользовательские события (trackEvent): Универсальный сбор произвольных событий с настраиваемыми параметрами (например, название события, категория, значение).
События приглашений (trackInviteEvent): Отслеживание приглашений пользователей.
Запуски приложений (trackLaunchManually): Фиксация каждого ручного запуска приложения.
События уровней (trackLevelEvent): Прогресс пользователя по уровням.
События входа (trackLoginEvent): Информация о входах пользователя, включая ID и метод входа.
События мини-приложений (trackMiniAppEvent): Активность пользователя в мини-приложениях.
События регистрации (trackRegistrationEvent): Детали о процессе регистрации пользователя.
Время, проведенное в приложении/на событии (incrementEventTimeSpent, startAnytimeTimeSpent, stopAnytimeTimeSpent, startForegroundTimeSpent, stopForegroundTimeSpent): Детальная статистика использования приложения.

Персональные данные пользователя:

Возраст (getAge, setAge).
Пол (getGender, setGender).
Пользовательские ID (getCustomUserId/getCustomUserIds, setCustomUserId/setCustomUserIds).
Адреса электронной почты (getEmail/getEmails, setEmail/setEmails).
ID из мессенджеров и соцсетей: ICQ ID (getIcqId), OK.ru ID (getOkId), VK Connect ID (getVkConnectId), VK ID (getVkId).
Номера телефонов (getPhone/getPhones, setPhone/setPhones).
Язык интерфейса (getLang, setLang).
Специальные ID, связанные с MRGS (getMrgsAppId, getMrgsId, getMrgsUserId).
Произвольные кастомные параметры (getCustomParam, setCustomParam): Позволяют разработчикам собирать любую дополнительную информацию.

Данные атрибуции:

Диплинки (getDeeplink из MyTrackerAttribution): Источники перехода пользователя в приложение (например, из рекламных кампаний или внешних ссылок).
Данные системы и действия с ней (AndroidManifest.xml): Файл AndroidManifest.xml описывает запрошенные разрешения и компоненты, которые позволяют приложению взаимодействовать с операционной системой и собирать системные данные.

Основные запрашиваемые разрешения:

Доступ к сети и местоположению:

android.permission.INTERNET: Полный доступ к сети.
android.permission.ACCESS_WIFI_STATE, android.permission.ACCESS_NETWORK_STATE, android.permission.CHANGE_NETWORK_STATE, android.permission.CHANGE_WIFI_STATE: Доступ к состоянию Wi-Fi и сотовой сети, возможность изменять их состояние.
android.permission.ACCESS_FINE_LOCATION, android.permission.ACCESS_COARSE_LOCATION: Получение точного и приблизительного местоположения пользователя (GPS, Wi-Fi, сотовые сети).

Доступ к данным пользователя:

android.permission.READ_CONTACTS, android.permission.WRITE_CONTACTS: Чтение и изменение списка контактов.
android.permission.GET_ACCOUNTS, android.permission.AUTHENTICATE_ACCOUNTS, android.permission.MANAGE_ACCOUNTS, android.permission.USE_CREDENTIALS: Доступ к учетным записям на устройстве, управление ими и использование учетных данных.
android.permission.READ_PHONE_NUMBERS: Чтение телефонных номеров с устройства.
android.permission.READ_EXTERNAL_STORAGE, android.permission.WRITE_EXTERNAL_STORAGE (до SDK 28/32): Чтение и запись файлов на внешнем накопителе.
android.permission.READ_MEDIA_IMAGES, android.permission.READ_MEDIA_VIDEO, android.permission.READ_MEDIA_VISUAL_USER_SELECTED: Доступ к изображениям и видео.

Доступ к аппаратным возможностям:

android.permission.CAMERA: Доступ к камере.
android.permission.RECORD_AUDIO: Доступ к микрофону для записи звука.
android.permission.BLUETOOTH, android.permission.BLUETOOTH_ADMIN, android.permission.BLUETOOTH_CONNECT: Полный контроль над Bluetooth-соединениями.
android.permission.USE_BIOMETRIC, android.permission.USE_FINGERPRINT: Использование биометрических данных (отпечатков пальцев).

Управление системой и уведомлениями:

android.permission.POST_NOTIFICATIONS: Отправка уведомлений.
android.permission.SYSTEM_ALERT_WINDOW: Отображение контента поверх других окон.
android.permission.RECEIVE_BOOT_COMPLETED: Автозапуск при включении устройства.
android.permission.WAKE_LOCK: Предотвращение перехода устройства в спящий режим.
android.permission.DISABLE_KEYGUARD: Отключение блокировки экрана.
android.permission.MODIFY_AUDIO_SETTINGS: Изменение настроек звука.
android.permission.REQUEST_INSTALL_PACKAGES: Запрос на установку других приложений.
android.permission.DOWNLOAD_WITHOUT_NOTIFICATION: Загрузка файлов без уведомлений.
Разрешения для работы со значками уведомлений на различных лаунчерах (Samsung, Sony, Huawei, Oppo, HTC и другие).

Интеграция с сервисами Google:

com.google.android.gms.permission.AD_ID: Доступ к рекламному идентификатору Google.
com.android.vending.BILLING: Работа с платежной системой Google Play.
com.google.android.c2dm.permission.RECEIVE: Получение push-уведомлений.
com.google.android.finsky.permission.BIND_GET_INSTALL_REFERRER_SERVICE: Получение данных о реферере установки.

Основные компоненты и их функции:

Activity:
MainActivity: Основной экран, может принимать интенты для обмена данными (android.intent.action.SEND).
LinkInterceptorActivity: Перехватывает HTTP/HTTPS и кастомные схемы (max) для обработки диплинков, потенциально контролируя веб-трафик.
CallNotifierFixActivity: Отображает информацию о звонках на экране блокировки.
Service:
ContactsSyncService: Служба синхронизации контактов.
NotificationTamService, FcmMessagingService, FirebaseMessagingService: Службы для обработки push-уведомлений.
OneMeMediaSessionService, OneMeDownloadService, MediaProjectionService: Службы для работы с медиа-контентом, загрузками и захватом экрана.
UploadService: Служба для загрузки аналитических данных.
CallServiceImpl: Служба, связанная с функциями звонков.
androidx.work.impl.foreground.SystemForegroundService: Использует службы переднего плана для microphone|camera|location|mediaPlayback|dataSync, что означает, что эти функции могут работать в фоне с уведомлением.
Receiver:
BootCompletedReceiver: Запускает приложение при загрузке системы.
TimeChangeReceiver: Реагирует на изменение системного времени.
CallsMediaButtonReceiver: Обрабатывает нажатия на медиа-кнопки (например, на гарнитуре).
Provider:
FileProvider, NotificationsImagesProvider: Предоставляют контролируемый доступ к файлам.
Используемые аппаратные особенности (uses-feature): Приложение может использовать: сенсорный экран, функции телефонии, геолокацию (GPS и сетевую), акселерометр, камеру (с автофокусом), датчики света, компаса, гироскопа, барометра, приближения, а также Bluetooth.

Детальный отчёт по анализу приложения "Макс"

Сравнение безопасности мессенджеров Telegram, WhatsApp, MAX Messenger

Цитата:

Приложение "Макс" позиционируется как быстрый и лёгкий мессенджер для общения. Заявлены функции высокого качества звонков, анимированные стикеры, отправка файлов до 4 ГБ

это было бы прекрасным преимуществом, если бы не было принудительной установки и объявленного замедления конкурентов.
но самая главная претензия - выбранный разработчик. для приложения, которое планируется как мессенджер с доступом к персональным данным - майл/вк вот ну никак не годится.

вместо этого достаточно было прикрутить в госуслуги внутренний мессенджер - и спросить есть с кого, и ответственность у разработчиков госуслуг выше, да и опыта в защите данных поболее. про взломы и утечку данных госуслуг я что-то не слышал, а вот про утечку паролей к почте майл.ру и вк - не далее как в прошлом году. и ответственность у вк и майл-почты на такие утечки - "рекомендуем сменить пароль", не более. а ведь у вк к этим утечкам персональных данных подвязан вкИД, который они автоматом подключают, не сообщают, и при входе через пароль в почту - постоянно подсовывают кнопку "входить без пароля через вкИД".

ну и собственно невозможность общения с родственниками и друзьями из других стран - в такое только учителей и воспитателей можно загнать принудительно. меня пытались в сферум загнать из ватсапа - я сказал, что буду звонить по обычному телефону преподавателям ребёнка, но в сферум не буду регистрироваться, т.к. мне удобно в ватсапе.

Приложение "Макс" позиционируется как быстрый и лёгкий мессенджер для общения. Ну прям реклама легального кокаина.

Ладно. В любом случае, все эти вбросы из категории "свистелки и перделки" созданы для того, чтобы озадачить твой ум очередной ненужной чепухой. Мне и без этого ма}{а худо-бедно выживалось. Не понимаю правда, как его создание стоимостьюРазработка: ориентир 1–2 млрд ₽/Продвижение: от десятков до сотен млн ₽ за активную волну/Поддержка (год): ориентир ~1,5–3,5 млрд ₽ (оценка по штатам и инфраструктуре; официально не раскрывается)) и навязанная установка (с 1.09.2025) хоть кому-то, чем-то реально поможет из населения в отличие от тех же забугорных аналогов (спойлер - ничем).

А вот что что я отлично понимаю:
-Стандарты и предустановка: единый мессенджер/идентификатор/платёжка → проще наблюдать, дозировать доступ, переключать тумблеры.
-Наратив + модерация: расширяемый список «опасного», раздача ярлыков; приватное право модерации маскирует гос-интерес.
-То, что можно было бы сделать за условно 100 млн, оформляют как тендер на 1–2 млрд. Разница уходит “куда надо”.

Starck писал(а):

IcedEarth писал(а): Ой ну фсе, теперь и гитхаб прикроют как "иносранного агента" Эмм... Не хочу расстраивать, но GitHub уже внесен в реестр запрещенных сайтов Роскомнадзором. Не скажу когда, но вроде бы достаточно давно.

не хочу расстраивать - но причинно-следственные связи вы искажаете (пи.дите, если точнее)
блокировка россиян на GitHub была со стороны GitHub - регистрироваться с российских айпи нельзя, старые аккаунты - ридонли.
есть ещё куча опенсурсных репозиториев, куда россиян не пускают, есть западные новостные сайты, которые не показывают новости россиянам - РКН их не блокирует.

my33oh писал(а):

а где такие же "отчеты" по телеге с вацапом

Ага! Типа макс жуть а либерастые телеги пушистые. Те-же яйца в профиль. Просто вопрос в бабле. Рвут одеяло дохода. Дуров тоже не придуров и заработать на слежке горазд.

Вот не пойму. USAID уже несколько месяцев как прикрыли, а тут всё гонят и гонят. На пятилетку что ли проплатили? так по идее уже и отчитываться не перед кем. Или тут всё таки "клинический" случай?

sergunka79 писал(а):

Starck писал(а): IcedEarth писал(а): Ой ну фсе, теперь и гитхаб прикроют как "иносранного агента" Эмм... Не хочу расстраивать, но GitHub уже внесен в реестр запрещенных сайтов Роскомнадзором. Не скажу когда, но вроде бы достаточно давно. не хочу расстраивать - но причинно-следственные связи вы искажаете (пи.дите, если точнее) блокировка россиян на GitHub была со стороны GitHub - регистрироваться с российских айпи нельзя, старые аккаунты - ридонли. есть ещё куча опенсурсных репозиториев, куда россиян не пускают, есть западные новостные сайты, которые не показывают новости россиянам - РКН их не блокирует.

У меня старый, весь функционал в строю.

LonliLokli2005 писал(а):

Вот не пойму. USAID уже несколько месяцев как прикрыли, а тут всё гонят и гонят. На пятилетку что ли проплатили? так по идее уже и отчитываться не перед кем. Или тут всё таки "клинический" случай?

Ну не могут гадить с иностранных симок , вот и бесяться ,

особенно лица либеральной направленности покинувшие нас и жители одной соседней страны

Starck писал(а):

IcedEarth писал(а): Ой ну фсе, теперь и гитхаб прикроют как "иносранного агента" Эмм... Не хочу расстраивать, но GitHub уже внесен в реестр запрещенных сайтов Роскомнадзором. Не скажу когда, но вроде бы достаточно давно.

Ничё он не внесён , иначе блокировали бы доступ к нему, а доступ к нему без всяких обходов свободен у всех Росс провайдеров

volcano1640 писал(а):

ElSwanko писал(а): my33oh писал(а): кто не шарит - схавают на ура. ...Вон как хомячьё забегало и заверещало, такие смешные... и это куратор и модератор на nnm)) ясненько)

Наброс из той же серии, что особо одарённые родители предъявляют педагогам своих чад когда те фотографируются в отпуске в купальниках, если нет претензий как к куратору аниме или модератору музыки - можете поглубже его запихать (:

emuxa писал(а):

В итоге всё сводится к выбору: кто именно будет использовать ваши данные.

Выбор в другом - кто за тобой придёт и когда.

ElSwanko писал(а):

my33oh писал(а): кто не шарит - схавают на ура. На то и расчёт. Вон как хомячьё забегало и заверещало, такие смешные. А то, что это системные разрешения, которые запрашивают чуть ли не все приложения - об этом умалчивают.

так-то ты как будто бы прав, но что ты скажешь вот об этом

Можно просто и кратко MAX deep anal

my33oh писал(а):

а где такие же "отчеты" по телеге с вацапом?

а кого ватсап волнует?
пущай собирает хоть мои анализы  
кто там за бугром за простым челом следить будет?
срал я на тов. ихнего майора

trunk_85 писал(а):

ElSwanko писал(а): my33oh писал(а): кто не шарит - схавают на ура. На то и расчёт. Вон как хомячьё забегало и заверещало, такие смешные. А то, что это системные разрешения, которые запрашивают чуть ли не все приложения - об этом умалчивают. так-то ты как будто бы прав, но что ты скажешь вот об этом

Зашел по ссылке, посмотрел.
Такого треша давно не видел.
Там даже Ходорковский агитирует против МАХа.
Весь комплект "патриотов" там.

Короче, ставим себе МАХ, убедили.

Вот только есть одна большая капля дегтя
Если бы действительно думали о народе, а не о бабосах то макс поддерживал бы все все операционные системы, даже ХР, а не только новые. Такая вот забота о тех, кто делает новые опер системы.
А то получается как с госуслугами, даже на win 7 не могут зайти
Стариков и бедных отсекают не только от медицины, но и от доступа к госресурсам.