MAX под контролем серверов VK: что нашли исследователи InterSecLab
Исследовательская лаборатория InterSecLab провела девятинедельный анализ MAX и обнаружила архитектуру, при которой серверы VK могут менять поведение приложения отдельно для конкретных аккаунтов. Причём пользователю для этого не требуется устанавливать новую версию мессенджера.
Исследователи изучали Android-версию MAX 26.12.0, сборка 6664, в период с марта по май 2026 года. Трафик перехватывался непосредственно внутри приложения до передачи данных криптографической библиотеке, после чего специалисты сопоставляли наблюдаемое поведение с кодом клиента.
«Секретный чат» без сквозного шифрования
Главный вывод касается переписки. По данным InterSecLab, MAX не использует сквозное шифрование, а содержимое сообщений доступно серверам VK.
Исследователи утверждают, что смогли перехватить текст сообщения в открытом виде непосредственно перед его передачей криптографической библиотеке. Функция «секретных чатов» при этом, согласно отчёту, представляет собой таймер исчезающих сообщений, а не отдельный режим с E2EE.
С голосовыми сообщениями ситуация похожая: их расшифровка выполняется на серверах VK. Во время звонков код MAX также предусматривает работу модели обработки аудио на устройстве, причём модель поступает с серверов и может быть заменена без обновления приложения.
Один MAX для каждого пользователя
Самая интересная часть исследования связана с удалёнными настройками.
InterSecLab обнаружила, что ряд функций может включаться и настраиваться на сервере отдельно для каждого аккаунта. Среди них исследователи называют сетевое сканирование, обнаружение VPN, транскрибацию голосовых сообщений, расширенное логирование и перечень сервисов, которым разрешено получать определённые идентификационные данные.
Получается любопытная ситуация: два человека могут использовать одну и ту же версию MAX в один день, но фактически получать разные наборы функций. При этом никаких изменений интерфейса они могут не увидеть.
MAX проверяет сетевое окружение
При включённой соответствующей настройке приложение при запуске или переходе в фон может определять публичный IP устройства через до 6 внешних сервисов, проверять наличие VPN, определять мобильного оператора и проверять доступность различных интернет-сервисов.
Исследователи отдельно обнаружили второй канал, через который сервер способен передавать приложению список адресов для проверки. Во время тестирования этот механизм сработал 19 раз. Один из проверяемых адресов, Apple Push Service, отсутствовал в самом приложении, поэтому исследователи сделали вывод, что он поступил с сервера.
Что происходит при обнаружении VPN
VPN MAX, согласно исследованию, способен обнаруживать непосредственно на устройстве. Во время теста приложение остановило отправку сообщения и показало полноэкранное требование отключить VPN.
При этом VPN, работающий на роутере, такой проверкой не обнаруживается.
Адресная книга отправляется VK
Ещё один важный момент касается контактов. InterSecLab утверждает, что MAX при регистрации загрузил на сервер VK всю адресную книгу устройства в открытом виде, включая имена и номера телефонов.
Исследователи также проверили поиск пользователя по номеру телефона. По их данным, зарегистрированный номер можно найти без уведомления самого человека. Сервер возвращает идентификатор аккаунта, имя и время создания учётной записи. Через 1,2 секунды после запроса тестовый аккаунт начал получать информацию о статусе найденного пользователя в реальном времени. Передача продолжалась более 15 минут.
Сервер может проверять содержимое сообщений
Каждое текстовое сообщение MAX, по данным исследования, содержит специальный «флажок», который позволяет серверу проверять сообщение на наличие ссылок и другого общего содержимого.
InterSecLab подчёркивает важную оговорку: исследование демонстрирует технические возможности системы, но не доказывает, что VK или российские государственные структуры использовали обнаруженные механизмы против конкретных людей. Таких доказательств авторы не собрали.
Есть и ещё одна принципиальная граница исследования. Авторы проверяли конкретную сборку 26.12.0 в конкретный период времени. Поэтому отчёт является снимком определённой версии MAX, а не доказательством того, что каждое описанное поведение постоянно происходит у всех пользователей.
Более того, именно возможность удалённо менять функции делает подобные проверки особенно сложными. Сегодня определённый механизм может быть выключен для тестового аккаунта, а завтра сервер способен активировать его без выпуска новой версии приложения.
В итоге исследование InterSecLab показывает архитектуру MAX, в которой значительная часть контроля находится на стороне серверов. Для пользователя это означает принципиальную вещь: установленная версия приложения сама по себе не гарантирует, что завтра оно будет работать абсолютно так же.
