Чужие файлы на телефоне сотрудника: просмотрщик Gander без разрешений

Чужой файл на рабочем телефоне

Менеджер получает в мессенджере PDF от клиента. Бухгалтер открывает архив от подрядчика. Закупщик смотрит презентацию от поставщика, которого видит впервые. Всё это происходит на телефоне, где открыты почта, мессенджеры и банк-клиент.

Файл может открыться в приложении, которому когда-то дали доступ ко всем файлам или в интернет. Если в таком просмотрщике найдут уязвимость, вредоносный документ получит все права самого приложения.

Условный пример. В компании 10 человек, каждый открывает по 5 чужих файлов в неделю. Это 50 файлов в неделю и около 2 500 в год. Допущения мои, цифры для масштаба. Хватит одного неудачного открытия на телефоне с доступом к рабочим чатам. Поэтому важно, какие права вы отдали приложению, которое смотрит чужое. Просмотрщик без доступа к файлам и сети не видит остальную память телефона и не может отправить её наружу, поэтому ущерб от плохого файла у него меньше.

Что такое Gander и что я проверил

Репозиторий: github.com/mokshablr/gander, автор Arjun Maniyani. Описание: офлайн-просмотрщик без разрешений для PDF, Word, Excel, PowerPoint, ODT, RTF, ZIP, STL, фото, видео, аудио, Markdown и кода. Репозиторий не архивирован.

Что я сверил на 11 октября 2026 года:

• Лицензия: файл LICENSE содержит текст MIT, copyright 2026 Arjun Maniyani. Встроенные библиотеки сохраняют свои лицензии (MIT, Apache, BSD), список есть в README.
• Последний коммит в основную ветку: 10 октября 2026 года.
• Последний релиз: версия 2.3 от 8 октября 2026 года, файл Gander-2.3.apk около 5 МБ. До неё вышли 2.2 (5 октября), 2.1 (4 октября) и 2.0 (26 сентября).
• Требования: Android 8.0 и выше, для PDF нужен Android System WebView 125 или новее.

Про разрешения я прочитал файл AndroidManifest.xml. Тегов uses-permission там нет. Автор поясняет в комментарии, что библиотека видео добавляла разрешение на чтение состояния сети, и при сборке его убирают. Сборку я не запускал и готовый APK не разбирал. По README экран «О приложении» показывает, какие разрешения запрашивает установленная копия, это проще всего проверить на своём телефоне.

Gander сам не ищет файлы. Файл ему передаёт система: вы выбираете его в окне выбора, нажимаете «Открыть с помощью» или делитесь им из мессенджера. Офисные форматы рисуются внутри изолированного WebView библиотеками из самого приложения, PDF показывает pdf.js. ZIP открывается как список файлов, ничего не распаковывая на телефон.

Чего Gander не умеет и что не подтверждено

По README старые презентации .ppt не поддерживаются, приложение предлагает пересохранить файл как .pptx. В презентациях часть графиков и картинок (кольцевые и радарные диаграммы, EMF и WMF) не рисуется, на их месте стоит пометка. Word-файлы из WPS Office, Google Docs и LibreOffice показываются без разбивки на страницы.

Антивирусом Gander не является. Он ничего не проверяет и не блокирует, только показывает файл. Если сотрудник перешлёт открытый файл кнопкой «Поделиться», отсутствие разрешений этому не помешает.

Проект молодой. Репозиторий создан 19 июля 2026 года, за три месяца вышло больше двадцати версий. В списке изменений версии 2.0 автор пишет, что раньше скрипт внутри Word-документа мог выполниться при открытии, а теперь действует политика, разрешающая только собственный код приложения. Наружу скрипт ничего отправить не мог, интернета у приложения нет. Там же pdf.js обновлён из-за CVE-2026-16633, автор считает, что до Gander она не дотягивалась. Я привожу это со слов списка изменений и сам ничего не воспроизводил. Ошибки находят и в таких приложениях, значит обновления нужны. Автор выпускает исправления в новых версиях, старые версии не патчатся, об этом сказано в файле SECURITY.md.

Не подтверждено: установка из F-Droid. Страница приложения там на момент проверки возвращала ошибку 404, в планах README стоит «F-Droid listing». Ссылка на Google Play в README ведёт на страницу, которая открывается, но её содержимое я прочитать не смог. Доступность Google Play из России уточняйте.

Правило для команды и установка

Правило короткое: чужой файл открываем в просмотрщике без доступа к телефону. Файл от клиента, подрядчика или незнакомого отправителя не открывается приложениями, где подключены ваши аккаунты.

У правила есть границы. Оно не отменяет проверку отправителя: как отличить поддельное сообщение, разобрано в материале про фишинг за десять секунд. Оно не заменяет обучение, о нём я писал в статье про кибергигиену сотрудников. Исполняемые файлы и установочные пакеты просмотрщик безопасными не делает.

Установить Gander можно из Google Play, если он доступен, из раздела Releases на GitHub (скачать APK и разрешить установку из неизвестных источников) или через Obtainium, который следит за релизами и обновляет программу сам. Автор публикует SHA-256 отпечаток сертификата подписи, его сверяют командой apksigner verify --print-certs. Для рабочих телефонов APK разумно скачать один раз, сверить отпечаток и раздать своими силами. Настройку парка устройств я делаю в рамках кибербезопасности под ключ.

Что можно сделать уже сейчас

Проверьте, чем открывают чужие файлы. Попросите сотрудников показать установленные просмотрщики и список разрешений каждого. Доступ ко всем файлам или интернет без причины повод удалить приложение.

Запустите пилот. Поставьте Gander двум-трём людям на неделю и отметьте форматы, которые не открылись.

Запишите чек-лист из трёх пунктов. Отправитель известен или подтверждён вторым каналом. Файл открыт в просмотрщике без разрешений. Телефон и WebView обновлены. Клиентам файлы лучше отдавать по одноразовым ссылкам, как в материале про свой сервис передачи файлов.

Включите автообновление. Просмотрщик и системный WebView должны обновляться сами. Для общего хранилища с проверкой загрузок антивирусом смотрите разбор ClovaLink.

Частые вопросы

Gander безопаснее обычного просмотрщика?

У него нет прав на память и сеть, поэтому вредоносному файлу нечем воспользоваться, кроме самого приложения. Гарантии это не даёт: уязвимости бывают и в приложении, и в WebView.

Он заменяет антивирус на телефоне?

Нет. Gander ничего не сканирует. Защита системы и обновления нужны в любом случае.

Можно ли доверять приложению разработчика-одиночки?

Исходный код открыт, но проекту три месяца, а разработчик один. Для компании разумно сверить подпись APK и проверить список разрешений на своём устройстве.

Коротко о главном

Gander под лицензией MIT открывает основные офисные форматы, фото, видео и ZIP на Android 8+, а его манифест в репозитории не содержит разрешений. Чужие файлы лучше открывать в таком просмотрщике, а не в приложениях с доступом к аккаунтам. Это снижает риск, обновления и проверка отправителя остаются обязательными.

Если хотите, чтобы я составил правило и чек-лист для вашей команды и помог с телефонами, напишите мне в Telegram кодовое слово «ПРОСМОТР», пришлю шаблон правила для сотрудников.