Аннотация

Настоящая работа посвящена научно-методическому обоснованию процедуры выявления шпионского программного обеспечения на мобильных устройствах под управлением операционной системы Android. В отличие от традиционного рассмотрения spyware в контексте межличностного наблюдения, исследование акцентирует внимание на программных средствах, выступающих инструментом хищения денежных средств с банковских счетов, получения кредитов и вывода активов. Систематизируются технические механизмы финансово ориентированного вредоносного ПО, предлагается четырёхуровневая методика проверки устройства, приводится пять эмпирических кейсов. Отдельный раздел посвящён вопросу о том, как проверить слежку на устройстве с соблюдением требований к сохранности цифровых доказательств.

1. Введение

1.1. Постановка научной проблемы

Шпионское программное обеспечение для мобильных устройств традиционно рассматривается в научной литературе преимущественно в контексте межличностного наблюдения. Однако эмпирические данные последних двух лет свидетельствуют о смене парадигмы: коммерческий рынок spyware переориентировался на финансовые цели. Предметом интереса злоумышленников становится не переписка или геолокация, а доступ к банковским приложениям, криптовалютным кошелькам и системам дистанционного банковского обслуживания (ДБО).

Данная трансформация подтверждается анализом актуальных образцов вредоносного ПО. Платформа Octagon, распространяемая по модели malware-as-a-service, включает специализированные модули для overlay-атак на банковские и криптовалютные приложения. ZeroDayRAT реализует перехват OTP-кодов и clipboard-инъекции. Связка CraxsRAT/NFCGate обеспечивает несанкционированное считывание данных банковских карт.

1.2. Цель и задачи исследования

Целью работы является разработка научно обоснованной методики проверки смартфона на наличие шпионского ПО, ориентированной на выявление программных средств, которые могут выступать инструментом хищения денежных средств. В рамках достижения цели решаются следующие задачи: систематизация технических механизмов финансово ориентированного spyware; обоснование четырёхуровневой методики проверки; эмпирическая иллюстрация методики; формулирование рекомендаций по сохранности цифровых доказательств.

Центральный исследовательский вопрос — как проверить слежку на устройстве так, чтобы результат проверки имел не только диагностическое, но и доказательственное значение.

1.3. Методологическая основа

Исследование опирается на анализ публичных отчётов исследовательских организаций (iVerify, F6, ThaiCERT), технических руководств по безопасности мобильных устройств , а также на обобщение практического опыта проверки мобильных устройств. Используются методы системного анализа, классификации и сравнительного исследования.

2. Технические механизмы хищения денежных средств

2.1. Перехват OTP-кодов и обход двухфакторной аутентификации

Большинство банковских операций защищены одноразовыми кодами. Шпионское ПО, получившее разрешение на чтение SMS, пересылает входящие сообщения оператору. ZeroDayRAT, по данным ThaiCERT, способен читать входящие SMS для перехвата OTP-кодов, используемых для обхода двухфакторной аутентификации, а также отправлять SMS от имени жертвы. Octagon сохраняет и пересылает входящие текстовые сообщения, включая одноразовые коды.

С научной точки зрения важно, что данный механизм не требует эксплуатации уязвимостей операционной системы: используется легитимное разрешение, предоставляемое пользователем при установке приложения.

2.2. Overlay-атаки на банковские приложения

Технология overlay позволяет вредоносной программе отобразить поверх легитимного окна банковского приложения поддельную страницу ввода пароля. Octagon использует готовые шаблоны для Trust Wallet, Binance, MEXC, MetaMask. ZeroDayRAT применяет аналогичный подход для Google Pay, Apple Pay, PayPal.

2.3. Кража данных банковских карт через NFC

Связка CraxsRAT и NFCGate представляет собой наиболее прямой с точки зрения хищения денежных средств инструмент. По данным F6, в России к марту 2025 года насчитывалось свыше 180 тысяч скомпрометированных устройств; ущерб за январь–февраль — почти 200 миллионов рублей.

2.4. Подмена буфера обмена

Clipboard-инъекция: вредоносная программа отслеживает буфер обмена и подменяет скопированный адрес кошелька получателя. ZeroDayRAT сканирует MetaMask, Trust Wallet, Binance и Coinbase и осуществляет такую подмену.

3. Как проверить слежку: теоретико-методические основания

3.1. Понятие индикатора компрометации применительно к Android

Под индикатором компрометации (Indicator of Compromise, IoC) в настоящей работе понимается артефакт, наличие которого с высокой степенью вероятности свидетельствует о присутствии вредоносного ПО. К таким артефактам относятся: разрешения, предоставленные приложениям; характерные строки в файловой системе; сетевые соединения с известными командными серверами; аномалии в системных журналах.

Вопрос о том, как проверить слежку на устройстве, методологически сводится к последовательному поиску IoC с фиксацией каждого этапа исследования.

3.2. Проверка разрешений как первичный метод

Первичным методом выявления компрометации является анализ разрешений. Специальные возможности (Accessibility Services) — ключевой вектор, используемый Octagon и CraxsRAT. Разрешение на чтение SMS — индикатор потенциального перехвата OTP-кодов.

Понимание того, как проверить андроид на слежку, невозможно без анализа истории предоставления разрешений: когда и каким приложением было запрошено разрешение, соответствует ли это заявленной функциональности. Согласно рекомендациям по безопасности, приложения должны иметь только те разрешения, которые необходимы для их работы; если калькулятор запрашивает доступ к микрофону, это повод для беспокойства.

3.3. Проверка источников установки

APK-файлы, полученные через мессенджеры, — статистически значимый индикатор компрометации. Именно так распространяются CraxsRAT и NFCGate. Эксперты по безопасности подчёркивают: установка приложений из сторонних источников является одной из самых типичных причин появления шпионских программ на устройстве.

3.4. Проверка сетевой активности и артефактов

Анализ сетевых соединений позволяет выявить соединения с известными C&C-серверами и нестандартными портами (TCP 4444 для Octagon). Поиск характерных строк (WardAccessibilityService, OctagonBridge) в файловой системе дополняет картину.

3.5. Проверка индикаторов доступа к датчикам

Современные версии Android (12 и выше) предоставляют Панель конфиденциальности (Privacy Dashboard), которая отображает временную шкалу доступа приложений к камере, микрофону и геолокации. Если индикатор использования микрофона или камеры появляется, когда вы не запускали соответствующее приложение, это может указывать на несанкционированный доступ.

3.6. Проверка переадресации вызовов

Набор кода ##002# позволяет отменить любую активную переадресацию вызовов. Это универсальный код, работающий в большинстве сетей мира. Если звонки перенаправляются на незнакомый номер, а вы сами этого не настраивали, это может указывать на компрометацию. Проверка того, как проверить телефон на прослушку и слежку, включает и этот метод: неожиданная переадресация — прямой признак вмешательства.

4. Методика проверки: четыре уровня исследования

4.1. Уровень 1. Предварительный анализ — 5 000 рублей

Цель: быстрая оценка наличия явных признаков компрометации.

Содержание: визуальный осмотр; проверка разрешений; проверка профилей администрирования; анализ источников установки.

Результат: устное заключение о наличии/отсутствии очевидных индикаторов риска.

Ограничение: не выявляет вредоносное ПО, маскирующееся под системные службы, и не обнаруживает следы удалённых программ.

4.2. Уровень 2. Краткая справка по исследованию — 15 000 рублей

Цель: документально оформленный результат для предъявления в банк или для внутреннего расследования.

Содержание: процедуры уровня 1; анализ сетевых соединений; поиск характерных артефактов; проверка запущенных процессов.

Результат: справка на 1–3 страницах.

4.3. Уровень 3. Развёрнутое заключение — 25 000 рублей

Цель: полноценное техническое заключение для досудебного урегулирования.

Содержание: процедуры уровней 1 и 2; создание образа памяти; анализ системных журналов; восстановление истории разрешений; сверка с базами индикаторов компрометации.

Результат: заключение на 5–15 страницах с подписью специалиста.

4.4. Уровень 4. Экспертиза по запросу суда или следствия — от 50 000 рублей

Цель: судебная экспертиза по факту хищения денежных средств.

Содержание: полный образ памяти с восстановлением удалённых данных; хронология событий; анализ финансовых артефактов; заключение по вопросам суда или следствия.

Стоимость: от 50 000 рублей, определяется сложностью дела.

5. Эмпирические кейсы

Кейс 1. Хищение 87 000 рублей через Octagon

Фабула. Гражданин Н. обнаружил списание 87 000 рублей через мобильное приложение банка в 03:17. Банк отказал, сославшись на корректный OTP-код.

Исследование (уровень 3). За 11 дней до инцидента установлено приложение «Обновление системы безопасности». Обнаружены артефакты WardAccessibilityService и OctagonBridge, соединения по порту 4444, overlay-шаблоны для банковского приложения.

Результат. Заключение представлено в банк; решение пересмотрено, средства возвращены.

Научный вывод. Ответ на вопрос, как проверить слежку в подобной ситуации, — техническая экспертиза с фиксацией артефактов. Без неё клиент остаётся в процессуально невыгодном положении.

Кейс 2. Попытка получения кредита после компрометации через ZeroDayRAT

Фабула. Гражданка К. обнаружила в кредитной истории заявку на 300 000 рублей, которую не подавала.

Исследование (уровень 2). Приложение «Фоторедактор» с доступом к SMS. Сетевые соединения с инфраструктурой ZeroDayRAT. Следы пересылки SMS от банка на неизвестный номер.

Результат. Кредитная заявка аннулирована, кредитная история скорректирована.

Научный вывод. Шпионское ПО позволяет не только красть существующие средства, но и создавать новые долговые обязательства на имя жертвы.

Кейс 3. Хищение 420 000 рублей у предприятия

Фабула. ООО «А.», бухгалтер с доступом к ДБО. Списано 420 000 рублей тремя транзакциями.

Исследование (уровень 3). На смартфоне бухгалтера установлен файл «Акт сверки.pdf.apk» через WhatsApp. Артефакты Octagon, перехват OTP, overlay-шаблоны ДБО.

Результат. Банк возместил 70% ущерба; страховая покрыла остаток.

Научный вывод. Проверка личных телефонов сотрудников с доступом к финансам — элемент управления рисками предприятия.

Кейс 4. Кража криптоактивов через clipboard-инъекцию

Фабула. Гражданин М. переводил 0,45 ETH; адрес визуально совпадал, но средства ушли на чужой адрес.

Исследование (уровень 3). Компонент мониторинга буфера обмена; логи подмены clipboard при копировании Ethereum-адресов; артефакты ZeroDayRAT.

Результат. Заключение зафиксировало механизм; средства не возвращены (блокчейн необратим), документ использован для обращения в полицию.

Научный вывод. Визуальная проверка адреса неэффективна. Понимание того, как проверить телефон на шпионские программы, включает анализ компонентов, работающих с буфером обмена.

Кейс 5. Кража данных карты через CraxsRAT/NFCGate

Фабула. Гражданка С. обнаружила списание 95 000 рублей. За два дня до этого — звонок «из банка» с предложением «проверить карту».

Исследование (уровень 3). Восстановлены следы CraxsRAT и NFCGate. Журналы NFC-активности показали считывание данных карты с передачей на внешний сервер.

Результат. Банк признал операцию мошеннической, средства возвращены.

Научный вывод. Вопрос о том, как проверить телефон на слежку андроид, в данном случае трансформируется в вопрос о проверке NFC-активности и следов удалённых приложений.

6. Самостоятельная проверка: методические указания

Понимание того, как проверить слежку самостоятельно, полезно, но не заменяет профессиональную диагностику.

Шаг 1. Настройки → Специальные возможности. Проверьте несистемные приложения с доступом к управлению устройством.

Шаг 2. Настройки → Приложения → Специальный доступ → SMS. Проверьте, кто читает ваши сообщения.

Шаг 3. Вспомните, устанавливали ли вы APK из мессенджеров.

Шаг 4. Наберите ##002# для отмены переадресации.

Шаг 5. Проверьте профили администрирования: Настройки → Безопасность → Администрирование устройства. Мониторинговое ПО иногда регистрируется там, чтобы затруднить удаление.

Шаг 6. Проверьте Панель конфиденциальности (Android 12+): Настройки → Конфиденциальность → Панель конфиденциальности. Обратите внимание на приложения, получавшие доступ к микрофону или камере в фоне.

Методическое указание: при обнаружении признаков компрометации не удаляйте приложения и не сбрасывайте устройство до проведения исследования — это может уничтожить доказательственную базу. Если вы размышляете, проверить андроид на прослушку и слежку необходимо до принятия радикальных мер, поскольку удаление вредоносного ПО лишает вас возможности доказать факт его присутствия.

7. Рекомендации для предприятий

1. Включить проверку устройств с доступом к финансовым системам в регламент кибергигиены.
2. Обучать сотрудников признакам компрометации.
3. Обеспечить процедуру реагирования: изоляция устройства, отзыв доступов, фиксация инцидента.
4. Рассмотреть киберстрахование: документально подтверждённый факт целевой атаки может служить основанием для выплаты.

8. Заключение

Шпионское ПО на телефоне — это не только бытовое наблюдение. Это инструмент хищения денежных средств. Octagon продаётся за 1400 долларов в месяц; ZeroDayRAT распространяется через Telegram; CraxsRAT и NFCGate заразили свыше 180 тысяч устройств в России.

Вопрос о том, как проверить слежку, имеет научно обоснованный ответ: последовательная проверка разрешений, источников установки, сетевой активности и артефактов вредоносного ПО. Для физических лиц достаточной может оказаться краткая справка; для предприятий и судебных споров необходима экспертиза.

Стоимость услуг:

• 5 000 рублей — предварительный анализ.
• 15 000 рублей — краткая справка по исследованию.
• 25 000 рублей — развёрнутое заключение.
• От 50 000 рублей — экспертиза по запросу суда или следствия.

Дальнейшие исследования могут быть направлены на разработку автоматизированных средств обнаружения артефактов конкретных семейств шпионского ПО, а также на изучение эффективности организационных мер противодействия в корпоративной среде.

Услуги оказываются в соответствии с описанной градацией. Стоимость экспертизы по запросу суда или следствия определяется сложностью дела, количеством поставленных вопросов, необходимостью восстановления удалённых данных и срочностью.