Разработчикам МАХ: нужно больше прозрачности в документации, запросах, коде, и тогда большая часть вопросов и негатива, связанного с новым мессенджером, возможно, отпадет сама собой. А, может, и нет. ©

Сравнение безопасности мессенджеров (Telegram, WhatsApp, MAX Messenger) — Сервисы на vc.ru

Появление МАХ вызвало нереальный ажиотаж и желание найти в нем уязвимости, доказать - это супер вредоносная программа. Все это привело к большому количеству статей, в которых МАХ сравнивали с вирусом и находили признаки тотальной слежки за устройством. Но любая аналитика должна быть в сравнении.

Поэтому ловите первый честный обзор по безопасности трех основных мессенджеров: Telegram, WhatsApp, MAX Messenger (МАХ, с учетом его присутствия в инфополе, уже можно считать основным).

Метод анализа - APK приложений прогоняется через сайт www.virustotal.com. Сводные отчеты анализивались в том числе с помощью ChatGPT и DeepSeek, для перекрестной проверки данных.

Общая безопасность

MAX Messenger содержит необычно много нативных библиотек (Linux ELF-файлы внутри APK), включая macOS-компонент (аномалия для Android).

Большое количество библиотек может говорить о вредности приложения, так как именно с помощью этих файлов внутри АРК обычно маскируют трояны и прочее, APK может распаковывать и запускать ELF-файлы во время выполнения для сокрытия вредоносной активности.

Но наличие Mac OS X исполняемых файлов в АРК для андроида говорит также о том, что приложение просто лепили быстро и на ходу. Вот комментарий про большое кол-во ELF-файлов внутри МАХ одного руководителя разработки в банковской сфере:

“Наши делали и кучу всякого мусора в коде 10000000%, его же на коленках поднимали”

Так что вряд ли количество ELF-файлов внутри МАХ говорит о том, что в нем зашито что-то инфернальное, скорее всего это просто….. ну, просто, как обычно.

Сравнение разрешений

Выводы

Первое и, наверное, самое важное: доступ к камере, микрофону и геолокации есть у всех мессенджеров, поэтому следить они могут за нами все, без исключения.

Второе: Telegram - самый "жадный" к разрешениям. Он единственный официально запрашивает доступ к буферу обмена и имеет максимальный набор разрешений среди всех.

Третье: МАХ единственный из мессенджеров может самостоятельно отключать экран блокировки. Выглядит страшно, но давайте разберемся. Эту функцию, например, используют банковские приложения, для того, чтобы вы могли ввести смс код, не разблокируя телефон, или будильники, для того чтобы вы могли их отключить - опять же, без разблокировки. Кажется, что для мессенджера это избыточно. Но не забывайте, мы имеем дело не с обычным мессенджером, а с суперапом, включающим в себя банковские приложения. Возможно, разрешение связано именно с этим. Хотя отдельный анализ АРК WeChat показал, что он не требует этого разрешения, несмотря на всю свою суперапность.

Из хорошего - МАХ единственный из мессенджеров не будет читать ваши СМС.

Важно обратить внимание на разрешение - (REQUEST_INSTALL_PACKAGES, которое позволяет приложению устанавливать другие приложения на ваш телефон, минуя Google Play.

Все три мессенджера (WhatsApp, Telegram и MAX Messenger) запрашивают это разрешение. Однако важно понимать контекст его использования:

WhatsApp

Использует его для легальных целей (обновление приложения),

Официально документировано в политике Google Play

Telegram

Применяет для установки стикеров и тем,

Также использует для обновлений через свой канал

MAX Messenger

Не имеет четко документированного назначения,

Может представлять риск, так как неизвестно, что именно устанавливает.

Разрешение на установку приложений (REQUEST_INSTALL_PACKAGES) в мессенджерах - это как дать курьеру ключ от вашей квартиры. В случае WhatsApp и Telegram - это проверенные курьеры, которые принесут только то, что вы заказали (обновления или стикеры). MAX Messenger - это неизвестный курьер и мы не можем быть уверены, что он положит в вашу квартиру только то, что вы ожидаете.

Сетевые активности (Какие сервера и IP-адреса используются)

Выводы

MAX Messenger контактирует с apptracer.ru (возможен сбор аналитики).

Telegram и WhatsApp используют доверенные сервисы (Google, Firebase).

MAX Messenger использует обфускацию (запутывание кода), что нетипично для легитимных приложений. Возможно это связано с повышеными требованиями безопасности, но требует объяснений.

WhatsApp и Telegram ведут себя предсказуемо.

Общее заключение

WhatsApp и Telegram выглядят безопасно, но Telegram более "агрессивен" в доступах.

MAX Messenger подозрителен из-за странных компонентов и непонятных целей для разрешений. Это необязательно может быть связано с его тотальным контролем за устройством, возможно, это просто признаки сырости и лоскутности. Лепили быстро, куча костылей, остатков от старых приложений и т.д. Это косвенно подтверждается наличием "яблочных" файлов в приложении для андроид. Вопрос - насколько эта лоскутность скажется на безопасности и что будет дальше?

Вызывает опасение возможность приложения отключать экран блокировки, чего нет даже у WeChat. Разрешение на установку приложений также сомнительная функция. Хотя сама по себе она имеет право на жизнь, но только если четко прописаны правила игры. А когда они размыты и не документированы, то это уже не очень хорошо и настораживает.

В итоге хочется сказать, что не настолько все ужасно - многие разрешения, запрашиваемые МАХом, стандартны для мессенджеров. Но те исключения, которые есть, требуют разъяснений и понимания, зачем это нужно. Поэтому хочется обратиться к разработчикам МАХ: нужно больше прозрачности в документации, запросах, коде, и тогда большая часть вопросов и негатива, связанного с новым мессенджером, возможно, отпадет сама собой. А, может, и нет.

Читать дальше...

Пс. Почему я обратился к этой теме — потому что менее часа назад одного знакомого по МАХу развели бесы из ЦИПсО. Надеемся, что вовремя их раскусили, и у них ничего не вышло. Он побежал в МФЦ.