Аннотация

Настоящее руководство посвящено практическим аспектам выявления шпионского программного обеспечения на мобильных устройствах в деловом контексте. Основной акцент сделан на финансовых рисках: современное spyware используется не столько для бытового наблюдения, сколько как инструмент хищения денежных средств с банковских счетов, получения кредитов и вывода активов. В работе систематизируются механизмы финансово ориентированного вредоносного ПО, предлагается четырёхуровневая методика проверки устройства с фиксированной стоимостью услуг, приводятся пять практических кейсов. Отдельное внимание уделено вопросу о том, как проверить слежку самостоятельно и когда необходимо обращение к специалистам.

1. Введение: деловой взгляд на проблему слежки

В корпоративной и частной практике шпионское ПО традиционно воспринимается как инструмент бытового наблюдения. Однако современный рынок коммерческого spyware демонстрирует устойчивую тенденцию к финансовой ориентации. Злоумышленников интересует не переписка, а доступ к банковским приложениям, криптовалютным кошелькам и системам дистанционного банковского обслуживания (ДБО).

Для предприятий проблема имеет прямое финансовое измерение: скомпрометированное устройство сотрудника, имеющего доступ к корпоративным счетам, становится вектором хищения средств организации. Исследователи iVerify прямо указывают: для предприятий компрометация устройства сотрудника является вектором кражи учётных данных, захвата аккаунтов и эксфильтрации данных.

Прежде чем переходить к методике, важно понять: как проверить слежку на устройстве, не уничтожив при этом доказательственную базу. Настоящее руководство отвечает на данный вопрос последовательно — от предварительного анализа до судебной экспертизы.

2. Как проверить слежку: базовые индикаторы компрометации

2.1. Проверка разрешений

Чтобы понять, как проверить слежку на Android-устройстве, начните с проверки разрешений. Откройте настройки → Специальные возможности. Любое несистемное приложение, имеющее доступ к управлению устройством и не являющееся известной программой экранного доступа (TalkBack, Voice Access), — красный флаг. Именно через Accessibility работают Octagon и CraxsRAT.

Далее проверьте, какие приложения имеют доступ к SMS. Банковские приложения не должны запрашивать это разрешение. Если вы задаётесь вопросом, как проверить телефон на слежку, доступ к SMS — один из ключевых индикаторов: перехват одноразовых кодов является основным механизмом обхода двухфакторной аутентификации.

2.2. Проверка источников установки

Если вы размышляете, как проверить на шпионские программы, обратите внимание на источники установки. APK-файлы, полученные через WhatsApp или Telegram («Фото.apk», «Обновление.apk», «Акт.pdf.apk»), — серьёзный повод для беспокойства. Именно так распространяются CraxsRAT и NFCGate.

2.3. Проверка профилей администрирования и переадресации

Проверьте настройки → Безопасность → Администрирование устройства. Незнакомые профили недопустимы. Наберите ##002# для отмены переадресации вызовов — если звонки перенаправлялись на незнакомый номер, устройство может быть под контролем.

Понимание того, как проверить телефон на прослушку и слежку, включает и проверку сетевой активности: приложение, которым вы редко пользуетесь, но которое активно передаёт данные в фоне, — тревожный сигнал.

3. Финансовые механизмы: почему слежка приводит к краже денег

3.1. Перехват OTP-кодов

Octagon перехватывает входящие SMS и пересылает их оператору. ZeroDayRAT читает SMS, включая OTP-коды, что позволяет обходить двухфакторную аутентификацию. Результат: злоумышленник инициирует перевод, перехватывает код и завершает операцию без участия владельца.

3.2. Overlay-атаки

Поверх настоящего окна банковского приложения отображается поддельная страница ввода пароля. Octagon использует готовые шаблоны для Trust Wallet, Binance, MEXC, MetaMask. ZeroDayRAT применяет аналогичный подход для Google Pay, Apple Pay, PayPal.

3.3. NFC-считывание карт

Связка CraxsRAT и NFCGate позволяет считывать данные банковских карт через NFC-модуль. По данным F6, в России к марту 2025 года насчитывалось свыше 180 тысяч скомпрометированных устройств; ущерб за январь–февраль — почти 200 миллионов рублей.

3.4. Clipboard-инъекции

Для владельцев криптоактивов критическую опасность представляет подмена буфера обмена: скопированный адрес кошелька заменяется на адрес злоумышленника. ZeroDayRAT сканирует MetaMask, Trust Wallet, Binance и Coinbase и осуществляет такую подмену.

4. Методика проверки: четыре уровня исследования

4.1. Уровень 1. Предварительный анализ — 5 000 рублей

Цель: быстрая оценка наличия явных признаков компрометации.

Содержание: визуальный осмотр; проверка разрешений; проверка профилей администрирования; анализ источников установки.

Результат: устное заключение о наличии/отсутствии очевидных индикаторов риска.

Ограничение: не выявляет вредоносное ПО, маскирующееся под системные службы, и не обнаруживает следы удалённых программ.

4.2. Уровень 2. Краткая справка по исследованию — 15 000 рублей

Цель: документально оформленный результат для предъявления в банк или для внутреннего расследования.

Содержание: процедуры уровня 1; анализ сетевых соединений; поиск характерных артефактов (WardAccessibilityService, OctagonBridge, TCP-порт 4444); проверка запущенных процессов.

Результат: справка на 1–3 страницах.

Применение: приложение к претензии в банк или к акту внутреннего расследования.

4.3. Уровень 3. Развёрнутое заключение — 25 000 рублей

Цель: полноценное техническое заключение для досудебного урегулирования.

Содержание: процедуры уровней 1 и 2; создание образа памяти; анализ системных журналов; восстановление истории разрешений; сверка с базами индикаторов компрометации.

Результат: заключение на 5–15 страницах с подписью специалиста.

Применение: доказательство в досудебном споре, основание для страховой выплаты.

4.4. Уровень 4. Экспертиза по запросу суда или следствия — от 50 000 рублей

Цель: судебная экспертиза по факту хищения денежных средств.

Содержание: полный образ памяти с восстановлением удалённых данных; хронология событий; анализ финансовых артефактов; заключение по вопросам суда или следствия.

Стоимость: от 50 000 рублей, определяется сложностью дела, количеством вопросов и срочностью.

5. Пять практических кейсов

Кейс 1. Хищение 87 000 рублей через Octagon

Фабула. Гражданин Н. обнаружил списание 87 000 рублей через мобильное приложение банка в 03:17. Банк отказал, сославшись на корректный OTP-код с устройства клиента.

Исследование (уровень 3). За 11 дней до инцидента установлено приложение «Обновление системы безопасности». Обнаружены артефакты WardAccessibilityService и OctagonBridge, соединения по порту 4444, overlay-шаблоны для банковского приложения.

Результат. Заключение представлено в банк; решение пересмотрено, средства возвращены. Материалы переданы в правоохранительные органы.

Деловой вывод. Ответ на вопрос, как проверить слежку в подобной ситуации, — техническая экспертиза с фиксацией артефактов. Без неё клиент остаётся в процессуально невыгодном положении.

Кейс 2. Попытка получения кредита после компрометации через ZeroDayRAT

Фабула. Гражданка К. обнаружила в кредитной истории заявку на 300 000 рублей, которую не подавала. Банк заблокировал выдачу.

Исследование (уровень 2). Приложение «Фоторедактор» с доступом к SMS и уведомлениям. Сетевые соединения с инфраструктурой ZeroDayRAT. Следы пересылки SMS от банка на неизвестный номер.

Результат. Кредитная заявка аннулирована, кредитная история скорректирована. Устройство очищено.

Деловой вывод. Шпионское ПО позволяет не только красть существующие средства, но и создавать новые долговые обязательства на имя жертвы.

Кейс 3. Хищение 420 000 рублей у предприятия

Фабула. ООО «А.», малое предприятие. Бухгалтер с доступом к ДБО. Списано 420 000 рублей тремя транзакциями. Банк отказал, указав на корректные OTP-коды.

Исследование (уровень 3). На смартфоне бухгалтера за три недели до инцидента установлен файл «Акт сверки.pdf.apk» через WhatsApp. Артефакты Octagon, перехват OTP, overlay-шаблоны ДБО организации.

Результат. Банк возместил 70% ущерба; страховая покрыла остаток по полису киберстрахования. Устройство заменено.

Деловой вывод. Проверка личных телефонов сотрудников с доступом к финансам — элемент управления рисками предприятия, а не избыточная мера.

Кейс 4. Кража криптоактивов через clipboard-инъекцию

Фабула. Гражданин М. переводил 0,45 ETH на биржевой адрес. Визуально адрес совпадал (первые и последние символы), но средства ушли на чужой адрес.

Исследование (уровень 3). Компонент мониторинга буфера обмена; логи подмены clipboard при копировании Ethereum-адресов; артефакты ZeroDayRAT. Приложение-носитель «Менеджер файлов» установлено из Telegram.

Результат. Заключение зафиксировало механизм; средства не возвращены (блокчейн необратим), документ использован для обращения в полицию и информирования биржи.

Деловой вывод. Визуальная проверка адреса неэффективна. Понимание того, как проверить на шпионские программы, включает анализ компонентов, работающих с буфером обмена.

Кейс 5. Кража данных карты через CraxsRAT/NFCGate

Фабула. Гражданка С. обнаружила списание 95 000 рублей с карты, которую не теряла. За два дня до этого — звонок «из банка» с предложением «проверить карту на безопасность».

Исследование (уровень 3). Восстановлены следы CraxsRAT и NFCGate. Журналы NFC-активности показали считывание данных карты с передачей на внешний сервер. Приложение мимикрировало под системное.

Результат. Банк признал операцию мошеннической, средства возвращены. Материалы переданы в полицию.

Деловой вывод. Вопрос о том, как проверить телефон на прослушку и слежку, в данном случае трансформируется в вопрос о проверке NFC-активности и следов удалённых приложений.

6. Самостоятельная проверка: пошаговая инструкция

Понимание того, как проверить слежку самостоятельно, полезно, но не заменяет профессиональную диагностику.

Шаг 1. Настройки → Специальные возможности. Проверьте несистемные приложения с доступом к управлению устройством.

Шаг 2. Настройки → Приложения → Специальный доступ → SMS. Проверьте, кто читает ваши сообщения.

Шаг 3. Вспомните, устанавливали ли вы APK из мессенджеров.

Шаг 4. Наберите ##002# для отмены переадресации.

Шаг 5. Проверьте профили администрирования.

Деловой совет: при обнаружении признаков компрометации не удаляйте приложения и не сбрасывайте устройство до проведения исследования — это может уничтожить доказательственную базу.

7. Рекомендации для предприятий

1. Включить проверку устройств с доступом к финансовым системам в регламент кибергигиены. Для сотрудников с правом подписи или доступом к ДБО — не реже одного раза в квартал.
2. Обучать сотрудников признакам компрометации. Основной вектор — социальная инженерия.
3. Обеспечить процедуру реагирования: изоляция устройства, отзыв доступов, фиксация инцидента.
4. Рассмотреть киберстрахование: документально подтверждённый факт целевой атаки может служить основанием для выплаты.

8. Заключение

Шпионское ПО на телефоне — это не только бытовое наблюдение. Это инструмент хищения денежных средств. Octagon продаётся за 1400 долларов в месяц; ZeroDayRAT распространяется через Telegram; CraxsRAT и NFCGate заразили свыше 180 тысяч устройств в России.

Вопрос о том, как проверить слежку, имеет практический деловой ответ: последовательная проверка разрешений, источников установки, сетевой активности и артефактов вредоносного ПО. Для физических лиц достаточной может оказаться краткая справка; для предприятий и судебных споров необходима экспертиза.

Стоимость услуг:

• 5 000 рублей — предварительный анализ.
• 15 000 рублей — краткая справка по исследованию.
• 25 000 рублей — развёрнутое заключение.
• От 50 000 рублей — экспертиза по запросу суда или следствия.

Если вы потеряли деньги через банковское приложение и банк отказал — проверьте устройство и вернитесь в банк с документом.

Услуги оказываются в соответствии с описанной градацией. Стоимость экспертизы по запросу суда или следствия определяется сложностью дела, количеством поставленных вопросов, необходимостью восстановления удалённых данных и срочностью.