Настоящая работа посвящена научному анализу проблемы выявления шпионского программного обеспечения на мобильных устройствах в контексте финансовых преступлений. В отличие от традиционного рассмотрения сталкерских программ в парадигме нарушения приватности, исследование фокусируется на вредоносном ПО, выступающем инструментом хищения денежных средств с банковских счетов и мошеннического получения кредитов. Ключевой исследовательский вопрос формулируется следующим образом: как проверить слежку на устройстве, используемом для доступа к финансовым сервисам, и какие методы диагностики обладают достаточной валидностью для целей доказывания. Приводятся классификация угроз, методология самостоятельной и профессиональной диагностики, пять эмпирических кейсов и ценовая политика экспертных услуг. Работа адресована физическим лицам и предприятиям, а также специалистам в области цифровой криминалистики.

1. Введение: постановка научной проблемы

1.1. Смена парадигмы исследования

В академической литературе шпионское ПО традиционно рассматривается в контексте нарушений неприкосновенности частной жизни. Однако эмпирические данные последних лет свидетельствуют о качественном сдвиге: вредоносные программы всё чаще выступают не как инструмент наблюдения, а как средство подготовки и совершения хищений.

Банковский троян Falcon, по данным F6, с конца 2025 года используется для хищения денежных средств и данных банковских карт клиентов российских кредитных организаций. Количество скомпрометированных устройств в России превысило 10 тысяч; целевая база включает более 30 приложений — мобильные банки, инвестиционные сервисы, госуслуги. Отличительной особенностью является способность трояна блокировать попытки пользователя удалить приложение или получить доступ к настройкам специальных возможностей, что делает самостоятельную диагностику принципиально ограниченной.

1.2. Исследовательский вопрос

Центральный вопрос настоящей работы: как проверить слежку на устройстве, скомпрометированном финансово ориентированным вредоносным ПО, и в каких случаях результаты такой проверки приобретают доказательственное значение. Вопрос распадается на три подвопроса:

• Какие индикаторы компрометации доступны для самостоятельной верификации?
• Каковы границы валидности самостоятельной диагностики?
• При каких условиях требуется профессиональное исследование, и каковы его процессуальные характеристики?

1.3. Методологическая рамка

Работа опирается на синтез методов цифровой криминалистики (создание бит-в-бит образа, анализ файловой системы, корреляция временных меток) и правового анализа (квалификация деяний, распределение бремени доказывания, требования к заключению эксперта).

2. Классификация финансово опасного вредоносного ПО

2.1. Таксономия угроз

Современные семейства банковских троянов для мобильных платформ обладают функциональностью, выходящей за пределы перехвата учётных данных:

ZeroDayRAT — коммерческая шпионская платформа, рекламируемая в Telegram. Поддерживает Android 5–16 и iOS до версии 26. Функционал включает: перехват SMS для обхода двухфакторной аутентификации, кейлоггер, удалённую активацию камер и микрофона, запись экрана, а также модуль кражи криптовалют с подменой адресов кошельков в буфере обмена и оверлеи для банковских приложений (Google Pay, Apple Pay, PayPal). По оценке исследователей, это «полный набор для компрометации мобильного устройства, который ранее требовал государственных инвестиций, а теперь продаётся в Telegram».

ClayRat — Android-шпионское ПО, обнаруженное Zimperium. Последняя версия сочетает привилегии SMS по умолчанию с обширным злоупотреблением Accessibility Services. Функционал включает кейлоггер для перехвата PIN-кодов и паролей, полную запись экрана через MediaProjection API, оверлеи для маскировки активности и автоматизированные нажатия для блокировки попыток пользователя выключить устройство или удалить приложение. Более 700 уникальных APK распространены через фишинговые сайты и Dropbox.

Fantasy Hub — Android RAT, распространяемый по модели Malware-as-a-Service на русскоязычных площадках. Ключевые возможности: перехват SMS и уведомлений с возможностью удаления, захват роли SMS role handler, WebRTC для стриминга аудио и видео в реальном времени, фишинговые окна для банковских приложений, интеграция Telegram-бота для управления.

2.2. Правовая квалификация

Действия с использованием указанного ПО образуют составы:

• ст. 159.3 УК РФ (мошенничество с использованием электронных средств платежа);
• ст. 158 УК РФ (кража с банковского счёта);
• ст. 272 УК РФ (неправомерный доступ к компьютерной информации);
• ст. 137 УК РФ (нарушение неприкосновенности частной жизни) — при сборе данных без согласия.

3. Методология самостоятельной диагностики: валидность и ограничения

3.1. Индикаторы, доступные для верификации

Индикаторы датчиков. На Android 12+ и iOS зелёная точка сигнализирует об использовании камеры, оранжевая — микрофона. Панель конфиденциальности (Настройки → Конфиденциальность → Панель конфиденциальности) отображает временную шкалу доступа приложений к датчикам. Появление индикатора без действия пользователя является статистически значимым признаком несанкционированного доступа.

Разрешения Accessibility. Приложения, функционально не требующие доступа к специальным возможностям (калькуляторы, фонарики, PDF-сканеры), но запрашивающие его, представляют собой аномалию. ClayRat, Fantasy Hub, ZeroDayRAT используют Accessibility как основной вектор атаки.

Администраторы устройства. Android: Настройки → Безопасность → Администраторы устройства. Регистрация вредоносного ПО в этом разделе блокирует его удаление.

Переадресация. *#21# — проверка статуса безусловной переадресации; ##002# — отмена всех переадресаций. Активная переадресация SMS на незнакомый номер означает перехват OTP.

Фоновый трафик. Приложения, передающие данные в фоне без явной функциональной необходимости, подлежат проверке. Android: Настройки → Сеть → Использование данных.

3.2. Фундаментальные ограничения самостоятельной диагностики

Ключевая методологическая проблема: как проверить слежку на устройстве, вредоносное ПО которого активно противодействует диагностике. ClayRat блокирует попытки выключения устройства и удаления приложения через автоматизированные нажатия. Falcon блокирует доступ к настройкам Accessibility при обнаружении попытки проверки. Динамическая загрузка кода означает, что в момент установки приложение выглядит чистым; вредоносная логика активируется позже.

Следовательно, отрицательный результат самостоятельной проверки не является доказательством отсутствия компрометации. Валидность самостоятельной диагностики ограничена обнаружением грубых аномалий; она не обладает чувствительностью, достаточной для исключения целевых атак.

3.3. Процедура при подтверждённом риске

• Авиарежим — остановка передачи данных.
• Блокировка счетов через банк с другого устройства.
• Смена паролей с другого устройства.
• Сохранение доказательств: фотографирование экранов, отказ от factory reset до консультации с экспертом.

4. Профессиональная экспертиза: методология и процессуальное значение

4.1. Этапы исследования

• Создание бит-в-бит образа устройства. Оригинал не подвергается изменениям.
• Анализ файловой системы: пакеты вне стоковой прошивки, скрытые директории, APK из неизвестных источников.
• Анализ разрешений: сопоставление набора разрешений с заявленной функциональностью.
• Анализ сетевой активности: C2-серверы, VPN-профили, фоновый трафик.
• Анализ SMS: восстановление удалённых сообщений, проверка перехвата OTP.
• Корреляция с транзакциями: сопоставление временных меток активности вредоносного ПО с временем финансовых операций.

4.2. Процессуальные требования

В спорах с банками бремя доказывания несанкционированности операции в значительной степени возлагается на клиента. Заключение эксперта является письменным доказательством (ст. 71 ГПК РФ, ст. 75 АПК РФ). Судебная экспертиза должна проводиться аккредитованной организацией; эксперт предупреждается по ст. 307 УК РФ.

Как проверить на шпионские программы в процессуальном смысле означает получить заключение, соответствующее требованиям допустимости и относимости доказательств.

5. Эмпирические кейсы

Кейс 1: Falcon и хищение 187 000 рублей

Клиент обнаружил два списания по 93 500 рублей. Банк отказал: «OTP подтверждены». При осмотре: «Clean Master Pro» из стороннего источника, Accessibility, права администратора. Экспертиза (25 000 рублей): динамическая загрузка DEX, связь с C2, перехват OTP. Транзакции инициированы программно. Банк возместил 70%, остаток взыскан в суде.

Кейс 2: Перехват OTP и кредит на 350 000

Женщина обнаружила кредит, который не оформляла. При осмотре: «Mobile Security», установленное бывшим супругом. Экспертиза (25 000 рублей): пересылка SMS на внешний номер. Уголовное дело по ст. 159.3 УК РФ. Кредит признан недействительным.

Кейс 3: Социальная инженерия и 1,7 млн рублей

Прокуратура Кувандыка: мужчине позвонили «из службы безопасности банка», он назвал код из SMS. Оформлено три кредита на сумму свыше 1,7 млн рублей. Суд признал договоры недействительными. Научный вывод: даже без установки трояна компрометация OTP приводит к финансовым потерям; проверка устройства — элемент комплексной защиты.

Кейс 4: 51 млн рублей с корпоративного счёта

Хищение с использованием вредоносного ПО на корпоративном смартфоне с доступом к клиент-банку. Экспертиза (от 50 000 рублей): вектор атаки, время заражения, перехват данных. Без заключения предприятие не может обосновать перед банком несанкционированность операций.

Кейс 5: Судебная экспертиза и 89 000 рублей

Клиент установил «PDF Scanner» из Google Play, предоставил Accessibility. Судебная экспертиза (50 000 рублей): дроппер загрузил вредоносный модуль, перехват OTP. Суд признал операцию совершённой без согласия клиента. Банк возместил 89 000 рублей, моральный вред и издержки.

6. Стоимость услуг

7. Заключение

Проведённый анализ позволяет сформулировать следующие выводы. Как проверить слежку на устройстве с финансово значимыми данными — вопрос, ответ на который не исчерпывается экспресс-диагностикой. Самостоятельная проверка обладает ограниченной валидностью: вредоносное ПО активно противодействует диагностике, блокируя доступ к настройкам и препятствуя удалению. При наличии финансовых потерь или отказа банка единственным методом, создающим доказательственную базу, является профессиональная экспертиза с созданием образа памяти и корреляцией временных меток.

Как проверить телефон на слежку в научном смысле означает верифицировать гипотезу о компрометации с использованием методов, обладающих достаточной чувствительностью и специфичностью. Проверить телефон на прослушку и слежку для целей доказывания — значит получить заключение, соответствующее процессуальным требованиям.

Услуги по проверке смартфонов и подготовке экспертных заключений предоставляются в указанном объёме. Для консультации и записи на предварительный анализ (5 000 ₽) свяжитесь с нами.