Настоящее методическое издание посвящено практическим вопросам проверки смартфона на наличие шпионского программного обеспечения, используемого в качестве инструмента хищения денежных средств с расчётных счетов, несанкционированного оформления кредитов и вывода средств из банков. В отличие от традиционного рассмотрения stalkerware в контексте семейного контроля, настоящее руководство акцентирует внимание на финансовых преступлениях, где вредоносное ПО выполняет функции перехвата одноразовых кодов, подмены банковских интерфейсов, удалённого управления устройством и сокрытия следов операций. Издание адресовано как физическим лицам, столкнувшимся с компрометацией личных устройств, так и предприятиям, чьи сотрудники используют смартфоны для доступа к корпоративным финансам. Методический характер работы обеспечивается пошаговым описанием процедур диагностики, критериями принятия решений и требованиями к документированию результатов на каждом этапе. Приводятся пять кейсов, иллюстрирующих типовые сценарии финансового ущерба и соответствующую методику экспертного исследования.

Ключевые слова: шпионское ПО, banking trojan, RAT, мобильная криминалистика, хищение денежных средств, экспертиза, Android, Accessibility Service, перехват OTP.

Введение

Целевая установка методического руководства

Настоящее издание отвечает на практический вопрос: что делать, если есть основания полагать, что смартфон использовался как инструмент хищения денег или оформления кредита. Методический стиль изложения означает, что читатель получает не только описание угрозы, но и последовательность действий, критерии оценки и требования к фиксации результатов.

Руководство структурировано по уровням глубины исследования: от первичной диагностики, доступной владельцу устройства, до процессуально оформленной экспертизы, назначаемой судом или следствием. Каждый уровень сопровождается указанием на границы применимости и риски, связанные с самостоятельными действиями.

Почему акцент на финансовых преступлениях

Современные исследования подтверждают, что функциональность шпионского ПО и банковских троянов конвергирует. Семейства Hirudo, Ramcontrol, GigaBud и RatHat распространяются под видом легитимных приложений и нацелены на кражу банковских учётных данных, перехват OTP, мониторинг активности и несанкционированные транзакции. Троян Hook, маскируясь под системные утилиты, запрашивает Accessibility Service, после чего выполняет overlay-атаки на банковские приложения, действует как RAT и перехватывает SMS. Mamont, ориентированный на пользователей в России и СНГ, перехватывает SMS и push-уведомления, включая коды подтверждения банковских операций, и передаёт их на серверы злоумышленников. TaxiSpy сочетает функции banking trojan и полного RAT, включая перехват OTP и удалённое управление.

Таким образом, проверка смартфона должна проводиться с установкой на финансовые последствия, а не только на факт слежки.

Терминологические уточнения

В методических целях разграничим понятия, которые в практике часто смешиваются:

• Stalkerware — ПО для скрытого наблюдения (геолокация, переписка, камера/микрофон), исторически ассоциируемое с семейным контролем.
• Banking trojan — ПО, нацеленное на кражу платёжных данных и подтверждающих кодов (overlay, перехват SMS, кейлоггинг).
• RAT — ПО удалённого администрирования, обеспечивающее управление устройством в реальном времени.

С точки зрения финансового ущерба эти категории образуют континуум: stalkerware может быть перепрофилирован, banking trojan может включать RAT-функции, а RAT может использоваться для инициации переводов. Методика проверки должна охватывать весь спектр.

Глава 1. Методические основания: как шпионское ПО приводит к финансовому ущербу

1.1. Функциональная карта угрозы

Для построения методики проверки необходимо понимать, какие именно функции вредоносного ПО создают финансовый риск. Ниже приведена систематизация с указанием на то, что именно подлежит обнаружению.

1.2. Ключевые векторы инфицирования (для оценки риска)

Методика проверки должна учитывать вероятный вектор проникновения, поскольку он определяет, какие артефакты искать.

Социальная инженерия под видом банка или госуслуг. Наиболее распространённый вектор. Злоумышленник убеждает установить «обновление безопасности» или «приложение для защиты карты». Hook распространяется именно так. Mamont использует легенды о фотографиях, посылках, скидках.

Третьи стор-магазины и фишинговые сайты. Приложения вне официальных магазинов не проходят проверку. ngCERT прямо указывает на распространение через third-party app stores и fraudulent websites.

Ссылки в мессенджерах. Файлы APK, замаскированные под видео или документы.

Физический доступ. Для stalkerware и некоторых RAT установка может быть произведена без ведома владельца при наличии физического доступа к разблокированному устройству.

1.3. Методический принцип: от вероятности к доказательству

Проверка не должна начинаться с предположения «шпионское ПО точно есть». Методически корректная последовательность:

• Оценка вероятности на основе косвенных признаков и контекста (были ли подозрительные звонки, переходы по ссылкам, физический доступ).
• Первичная диагностика доступными средствами.
• Принятие решения о необходимости углублённого исследования.
• Фиксация результатов в форме, соответствующей цели (внутренняя оценка, взаимодействие с банком, суд).

Каждый этап имеет свои ограничения, которые должны быть явно обозначены.

Глава 2. Методика первичной диагностики (уровень владельца устройства)

2.1. Когда проводить первичную диагностику

Первичная диагностика целесообразна в следующих ситуациях:

• Появились необъяснимые списания или уведомления о кредитных продуктах.
• Поступали звонки «из банка» или «из госуслуг» с просьбой установить приложение.
• Был переход по подозрительной ссылке в мессенджере.
• Устройство находилось в руках третьих лиц без контроля владельца.
• Наблюдаются аномалии энергопотребления или трафика без объяснимой причины.

2.2. Последовательность действий (чек-лист)

Шаг 1. Зафиксируйте исходное состояние. Запишите дату, время, модель устройства, версию ОС, IMEI. Сделайте скриншоты экрана «О телефоне». Это необходимо для того, чтобы в дальнейшем можно было подтвердить, что проверка проводилась именно на этом устройстве и в это время.

Шаг 2. Проверьте список приложений, включая системные. На Android: Настройки → Приложения → Показать системные. Ищите приложения с подозрительными названиями («System Update», «Служба безопасности», «Госуслуги Верификация» и т.п.), а также приложения, которых вы не устанавливали. Помните, что вредоносное ПО может скрывать иконку, поэтому список установленных приложений (через настройки) важнее, чем то, что видно на рабочем столе.

Шаг 3. Проверьте специальные возможности (Accessibility). Настройки → Специальные возможности → Установленные приложения. Легитимные приложения в этом разделе — это средства для людей с ограниченными возможностями (экранные дикторы, переключатели). Если в списке есть «обновление системы», «калькулятор», «блокнот» или приложение с незнакомым названием — это красный флаг. Hook и другие banking trojan требуют именно это разрешение.

Шаг 4. Проверьте администраторов устройства. Настройки → Безопасность → Администраторы устройства. Неизвестные приложения с этим статусом могут блокировать удаление и управлять устройством.

Шаг 5. Проверьте доступ к уведомлениям. Настройки → Уведомления → Доступ к уведомлениям. Приложения с этим доступом могут читать push-сообщения банковских приложений.

Шаг 6. Проверьте установленные сертификаты и VPN-профили. Настройки → Безопасность → Шифрование и учётные данные → Доверенные сертификаты → Пользовательские. Наличие неизвестного пользовательского сертификата может означать перехват трафика (MITM).

Шаг 7. Проверьте, не является ли подозрительное приложение обработчиком SMS по умолчанию. Настройки → Приложения → Приложения по умолчанию → SMS. TaxiSpy, например, пытается стать default SMS handler для перехвата сообщений.

2.3. Что делать при обнаружении индикаторов

Не удаляйте приложение сразу, если планируете обращаться в банк или правоохранительные органы. Удаление уничтожит следы. Зафиксируйте название пакета (не только отображаемое имя), сделайте скриншоты.

Изолируйте устройство от сети (авиарежим), если есть подозрение на активное удалённое управление. Это предотвратит дальнейшую передачу данных и возможное удаление следов злоумышленником.

Не сбрасывайте устройство до консультации с экспертом, если сумма ущерба значительна и вы намерены добиваться возмещения.

2.4. Ограничения первичной диагностики

Владелец устройства не может достоверно установить отсутствие шпионского ПО. Отсутствие видимых индикаторов не означает «чисто». Современные образцы маскируются, скрывают иконки, используют обфускацию. Кроме того, самостоятельные действия могут уничтожить доказательства, необходимые для установления причинно-следственной связи между компрометацией и финансовой операцией.

Методический вывод: первичная диагностика служит фильтром для принятия решения о необходимости профессионального исследования, а не заменой ему.

Глава 3. Методика углублённого исследования (уровень эксперта)

3.1. Требования к доказательственной силе

Если результаты проверки предполагается использовать в суде или при взаимодействии с правоохранительными органами, исследование должно удовлетворять следующим требованиям:

Неизменность исходных данных. Создаётся посекторная копия носителя; оригинал не подвергается модификации. Каждый образ сопровождается хэш-суммой (SHA-256).

Документирование цепочки хранения. Фиксация того, кто, когда и при каких обстоятельствах получил устройство, где оно хранилось, какие действия с ним производились.

Воспроизводимость. Методика и инструменты должны быть описаны так, чтобы результаты могли быть проверены.

Разграничение фактов и интерпретаций. Выводы о наличии ПО — факты; выводы о связи с хищением — интерпретация, требующая обоснования.

3.2. Этапы исследования

Этап 1. Формулировка вопросов. До начала исследования должны быть определены вопросы, на которые необходимо ответить. Типовые вопросы:

• Имеются ли на устройстве приложения, обладающие функциями негласного сбора информации?
• Каков механизм их работы (перехват SMS, accessibility, overlay, RAT)?
• Когда и как (при каких обстоятельствах) могла быть произведена установка?
• Имеются ли следы удалённого управления или передачи данных?
• Имеется ли временная корреляция между активностью ПО и финансовыми операциями?

Этап 2. Создание образа. Для Android — через ADB, forensic-инструменты или аппаратные методы. Для iOS — через резервную копию и специализированное ПО. Образ хэшируется.

Этап 3. Инвентаризация пакетов. Составляется полный перечень установленных приложений с указанием: имени пакета, версии, источника установки, запрошенных разрешений, даты установки (если доступна). Подозрительные пакеты выделяются для дальнейшего анализа.

Этап 4. Анализ разрешений и специальных возможностей. Для каждого подозрительного пакета проверяется: наличие Accessibility Service, доступ к SMS, доступ к уведомлениям, администратор устройства, разрешение на overlay. Соответствие разрешений заявленной функциональности — ключевой критерий.

Этап 5. Статический анализ APK. Декомпиляция подозрительных пакетов, поиск сигнатур известных семейств (Hook, Mamont, TaxiSpy, BlackRock и др.), анализ кода на наличие функций перехвата, overlay, удалённого управления. Инструменты: jadx, Ghidra, YARA-правила.

Этап 6. Анализ артефактов. Исследование журналов: история установок, логи доступа к банковским приложениям, журналы SMS (если доступны), уведомления. Цель — восстановить хронологию и выявить аномалии.

Этап 7. Сетевой анализ. Анализ логов соединений, DNS-запросов, истории подключений. Выявление соединений с известными C2-серверами или аномальных паттернов передачи данных.

Этап 8. Корреляция с финансовыми событиями. Сопоставление временных меток активности вредоносного ПО с временем финансовых операций (переводов, оформления кредита, изменения настроек банковского приложения). Это центральный этап для ответа на вопрос о причинно-следственной связи.

Этап 9. Формулирование выводов. Выводы должны быть категорическими там, где это обосновано, и вероятностными там, где данных недостаточно. Смешение этих категорий недопустимо.

3.3. Специфика Android и iOS

Android — основная платформа для banking trojan и RAT. Ключевые области: sideload-приложения, Accessibility, default SMS handler, администраторы, скрытые пакеты. Большинство описанных в литературе финансовых троянов ориентированы на Android.

iOS — более закрытая экосистема, но не иммунная. Для целевых атак возможны эксплойты. Методика включает проверку целостности (jailbreak), анализ профилей конфигурации (MDM/VPN), проверку признаков компрометации, характерных для targeted spyware. Публичные индикаторы для iOS менее доступны.

3.4. Инструментальные ограничения

Открытые инструменты (MVT, AndroidQF) полезны, но их разработчики прямо указывают, что они предназначены для специалистов, а публичные индикаторы недостаточны для категорических выводов. Методический вывод: инструментарий — вспомогательное средство, а не замена экспертного суждения.

Глава 4. Кейсы (методический разбор)

Ниже приведены пять кейсов, синтезированных на основе опубликованных описаний вредоносных кампаний. Каждый кейс сопровождается методическим комментарием: какие шаги диагностики были бы релевантны и какие выводы допустимы.

Кейс 1. Hook: overlay-атака и RAT под видом системной утилиты

Сценарий. Пользователь устанавливает приложение, представленное как «обновление системы» или утилита. Приложение запрашивает Accessibility Service. После предоставления разрешения оно отображает поддельные окна входа поверх банковских приложений, перехватывает SMS и позволяет злоумышленнику удалённо управлять устройством.

Методический разбор. Первичная диагностика выявила бы приложение с Accessibility Service, не являющееся легитимным ассистивным инструментом. Углублённое исследование: декомпиляция APK, обнаружение overlay-кода и модуля перехвата SMS. Корреляция: время overlay-атак с несанкционированными переводами. Вывод: ПО обладает функциями banking trojan и RAT, создаёт условия для хищения.

Методический урок. Разрешение Accessibility Service — критический индикатор. Если приложение, не являющееся средством доступности, запрашивает его, это требует объяснения.

Кейс 2. Mamont: целевая кампания против пользователей в России

Сценарий. Пользователь получает сообщение с предложением посмотреть фото или отследить посылку. Ссылка ведёт на фишинговый сайт, загружается APK. Приложение перехватывает SMS и push-уведомления, включая коды подтверждения банковских операций, и передаёт их на сервер. Иконка может скрываться.

Методический разбор. Первичная диагностика: проверка списка приложений (включая скрытые), доступ к уведомлениям, default SMS handler. Углублённое исследование: анализ сетевых соединений, выявление C2, восстановление хронологии перехвата. Корреляция: время перехвата кодов ↔ время операций. Вывод: ПО предназначено для кражи финансовых данных, ориентировано на российских пользователей.

Методический урок. Сокрытие иконки — признак, который не виден при обычном осмотре рабочего стола. Проверка должна начинаться со списка установленных приложений в настройках, а не с визуального осмотра.

Кейс 3. TaxiSpy: banking trojan с полным RAT-функционалом

Сценарий. Приложение маскируется под легитимный сервис. Запрашивает Accessibility Service и пытается стать обработчиком SMS по умолчанию. Обеспечивает перехват OTP, мониторинг банковских приложений, удалённое выполнение команд.

Методический разбор. Первичная диагностика: проверка «Приложения по умолчанию → SMS», Accessibility, администраторы. Углублённое исследование: анализ команд, принимаемых от C2, определение объёма функций. Корреляция: команды RAT ↔ финансовые операции. Вывод: полный RAT с banking-функциями, создающий прямой канал для хищения.

Методический урок. Banking trojan может не ограничиваться перехватом — RAT-функции означают, что злоумышленник может действовать от имени пользователя в реальном времени. Это меняет характер доказывания: требуется установить не только наличие ПО, но и факт удалённых команд.

Кейс 4. BlackRock: overlay и сокрытие от антивирусов

Сценарий. Троян распространяется под видом обновления Google или приложения Clubhouse. Скрывает иконку, запрашивает Accessibility, отображает overlay для сотен приложений, перехватывает SMS, блокирует попытки запуска антивирусов, возвращая пользователя на домашний экран.

Методический разбор. Первичная диагностика может не выявить иконку; проверка списка пакетов — выявит. Углублённое исследование: декомпиляция, анализ механизмов сокрытия и блокировки. Корреляция: периоды активности overlay с операциями. Вывод: ПО активно противодействует обнаружению, что усиливает риск длительной необнаруженной компрометации.

Методический урок. Если приложение блокирует антивирус или возвращает на домашний экран при попытке проверки — это самостоятельный индикатор. Его наличие должно быть зафиксировано.

Кейс 5. Hirudo и семейство: dropper-приложения и обход проверок

Сценарий. Кампания использует приложения-дропперы (например, магазины), которые изначально могут выглядеть легитимно, но затем устанавливают banking-полезную нагрузку. Hirudo обходит проверки подписи приложений, accessibility-защиту и Play Integrity, что позволяет вести финансовую деятельность в реальном времени.

Методический разбор. Первичная диагностика: поиск приложений, которые не соответствуют заявленной функции, или приложений, установленных «в паре» с другими. Углублённое исследование: анализ цепочки установки (dropper → payload), выявление обхода защит. Корреляция: активность payload с операциями. Вывод: современные кампании используют многоступенчатую установку для обхода защиты, что требует анализа не только «конечного» приложения, но и источника его появления.

Методический урок. Отсутствие явного вредоносного приложения в списке не исключает компрометации: полезная нагрузка может быть установлена дроппером, который уже удалён. Исследование должно включать анализ истории установок.

Глава 5. Методика документирования и форматы результатов

5.1. Зависимость формата от цели

Результат проверки может использоваться для разных целей, и требования к нему различаются.

5.2. Предварительный анализ (5 000 ₽)

Методическое содержание: первичная диагностика по чек-листу (Глава 2), устная оценка вероятности компрометации, рекомендации по дальнейшим действиям.

Что документируется: дата, устройство, перечень проверенных параметров, выявленные индикаторы (если есть), вывод о целесообразности углублённого исследования.

Ограничение: не является документом, пригодным для суда. Не содержит криминалистического образа. Может использоваться для принятия решения о дальнейших шагах.

5.3. Краткая справка по исследованию (15 000 ₽)

Методическое содержание: документальная фиксация результатов проверки, перечень выявленных индикаторов, описание подозрительных приложений и разрешений, рекомендации по нейтрализации.

Что документируется: методика проверки, перечень проверенных параметров, описание индикаторов, выводы о наличии/отсутствии признаков компрометации.

Ограничение: не является судебной экспертизой. Может использоваться для внутреннего расследования, взаимодействия с банком, но не как процессуальное доказательство.

5.4. Развёрнутое заключение (25 000 ₽)

Методическое содержание: полное техническое исследование с созданием образа, статическим и динамическим анализом, описанием функциональности обнаруженного ПО, корреляцией с финансовыми событиями и выводами.

Что документируется: цепочка хранения, хэш-суммы, методика, инструменты, результаты анализа, корреляционная таблица (время активности ПО ↔ время операций), выводы.

Применимость: может использоваться как заключение специалиста в суде, при взаимодействии с правоохранительными органами, для обоснования иска к банку.

5.5. Экспертиза по запросу суда или следствия (от 50 000 ₽)

Методическое содержание: процессуально оформленная судебная экспертиза, назначаемая в установленном порядке. Включает все этапы развёрнутого исследования с соблюдением процессуальных требований.

Что документируется: постановление/определение о назначении, вопросы эксперту, предупреждение об ответственности по ст. 307 УК РФ, полное описание методики и результатов, выводы по каждому вопросу.

Применимость: является доказательством в уголовном или гражданском процессе.

5.6. Методические рекомендации по выбору формата

Если сумма ущерба невелика и цель — понять, «что происходит»: предварительный анализ.

Если цель — оспорить операцию в банке: краткая справка или развёрнутое заключение (в зависимости от позиции банка).

Если цель — обращение в полицию: развёрнутое заключение.

Если дело дошло до суда или следствия: экспертиза по запросу (назначается процессуально).

Глава 6. Профилактика и организационные меры (для предприятий)

6.1. Корпоративные риски

Смартфон сотрудника, имеющего доступ к корпоративному онлайн-банку, является точкой входа для финансовых атак. Компрометация устройства может привести к:

• перехвату кодов подтверждения корпоративных операций;
• доступу к учётным данным сотрудника;
• использованию устройства как плацдарма для атак на контрагентов.

6.2. Минимальные организационные меры

• Запрет sideload на устройствах, имеющих доступ к финансовым системам.
• MDM-политики, контролирующие устанавливаемые приложения и конфигурации.
• Аудит устройств с доступом к онлайн-банку: проверка Accessibility, администраторов, сертификатов.
• Обучение сотрудников: запрет установки приложений по указанию «сотрудников банка» или «госуслуг».
• Регламент действий при инциденте: изоляция устройства, сохранение доказательств, привлечение эксперта до сброса.

6.3. Методический вывод для предприятий

Предприятие, столкнувшееся с хищением через скомпрометированное устройство сотрудника, должно рассматривать экспертизу как инструмент установления полной цепочки событий, а не только как «проверку телефона». Это включает анализ того, как устройство было скомпрометировано, какие данные были получены злоумышленником и как они были использованы для операции.

Заключение

Основные методические выводы

• Шпионское ПО в финансовом контексте — это не «слежка», а инструмент доступа. Функции перехвата SMS, Accessibility, overlay и RAT напрямую конвертируются в возможность хищения, оформления кредита и вывода средств. Методика проверки должна быть ориентирована на эти функции.
• Первичная диагностика необходима, но недостаточна. Владелец устройства может выявить индикаторы, но не может достоверно установить отсутствие компрометации или доказать связь с хищением. Самостоятельные действия сопряжены с риском уничтожения доказательств.
• Углублённое исследование требует криминалистической методологии. Создание образа, хэширование, документирование цепочки хранения, разграничение фактов и интерпретаций — условия доказательственной силы.
• Корреляция с финансовыми событиями — центральный этап. Без установления временной и функциональной связи между активностью ПО и операциями вывод о причинно-следственной связи необоснован.
• Формат результата должен соответствовать цели. Предварительный анализ (5 000 ₽) — для решения о дальнейших шагах; краткая справка (15 000 ₽) — для банка или внутреннего расследования; развёрнутое заключение (25 000 ₽) — для правоохранительных органов и суда; экспертиза по запросу (от 50 000 ₽) — для процессуального использования.
• Предприятиям необходима проактивная позиция. MDM, запрет sideload, аудит устройств с доступом к финансам и обучение сотрудников снижают вероятность инцидента; при инциденте — сохранение доказательств и привлечение эксперта до сброса.

Методическое послесловие

Настоящее руководство не заменяет индивидуальную консультацию. Конкретная ситуация может требовать адаптации методики: устройство может быть корпоративным, финансовые потери — значительными, а временной разрыв между хищением и обнаружением — длительным. В таких случаях решение о глубине исследования и формате результата должно приниматься с учётом всех обстоятельств.