Это не статья о ревнивых супругах, которые ставят друг другу «слежку». Это статья о том, как с вашего счёта исчезают деньги, пока вы читаете чужие переписки. Банковские трояны нового поколения — Xenomorph, ToxicPanda 2.0, Manic, Godfather — не интересуются вашей личной жизнью. Они интересуются вашим банковским приложением. И они уже научились обходиться без вас: автоматизированные системы переводов, перехват OTP, блокировка антивирусов, передача данных через соседние телефоны даже без интернета. Пособие адресовано тем, кто уже потерял деньги и получил от банка отказ, и тем, кто пока только подозревает, что с телефоном что-то не так. Приводятся классификация угроз, алгоритм самостоятельной проверки, методика профессиональной экспертизы, пять кейсов (включая реальные российские инциденты) и цены на услуги. Тон — свободный, местами провокационный. Потому что вежливо говорить о том, что вас обкрадывают, уже бессмысленно.

1. Введение: хватит врать себе, что это про любовь

1.1. Реальность, которую не хотят замечать

Каждый раз, когда речь заходит о шпионском ПО, разговор сворачивает в сторону бытовых драм. Муж поставил жене сталкер. Жена поставила мужу. Оба читают переписку. Оба чувствуют себя в праве. Это скучно. И это не имеет отношения к тому, что происходит на самом деле.

Настоящая угроза выглядит иначе. Она не ревнует. Она не читает ваши сообщения. Она ждёт, пока вы откроете банковское приложение, и делает всё остальное сама.

Xenomorph третьего поколения содержит Automated Transfer System — движок, который выполняет скрипты для входа в банковское приложение, проверки баланса, инициирования перевода, перехвата OTP и подтверждения операции без участия человека. Это не «слежка». Это ограбление, автоматизированное до уровня скрипта.

ToxicPanda 2.0 пошёл дальше: он блокирует Google Play и Play Protect через локальный VPN, прежде чем начать работать. То есть он отключает охранную сигнализацию до того, как вы успели что-то заподозрить. 167 удалённых команд. 349 целевых финансовых приложений в 16 странах. И это не где-то далеко — география включает Россию.

Manic — самый неприятный экземпляр. Он умеет передавать украденные данные через соседние заражённые телефоны, если ваш телефон отключён от интернета. Wi-Fi Direct, Bluetooth, BLE. До четырёх прыжков. Выключили интернет? Поздравляю. Если рядом есть ещё один заражённый телефон, ваши данные всё равно уйдут.

Пока вы читаете эту фразу, где-то кто-то нажимает «Подтвердить» в приложении банка, не понимая, почему баланс обнулился.

1.2. Для кого это

Для тех, у кого уже украли деньги. Для тех, кому банк отказал, сославшись на «действия клиента». Для тех, кто обнаружил в кредитной истории заявку, которую не подавал. Для предприятий, чей корпоративный смартфон с доступом к клиент-банку оказался проводником для хищения.

Для тех, кто пока не потерял ничего, но хочет понимать, где находится кнопка «самоуничтожение» — и не нажимать её.

1.3. О чём это пособие не будет

Это пособие не будет учить вас «проверять, не следит ли за вами партнёр». Если это ваша проблема — обратитесь к семейному психологу. Здесь речь о деньгах. О конкретных суммах, которые уходят со счетов. О кредитах, которые оформляются на ваше имя. О том, как доказать, что вы этого не делали.

2. Кто вас обкрадывает: классификация без иллюзий

2.1. Банковские трояны — главный враг

Xenomorph (v3). Ассоциирован с группой Hadoken Security. Изначально специализировался на оверлеях — поддельных экранах входа. Третья версия добавила ATS-движок: теперь это не «покажи фальшивый экран и жди, пока жертва введёт пароль». Это полноценный сценарий ограбления: скрипт открывает банковское приложение, вводит украденные учётные данные, переходит к переводу, указывает счёт получателя, вводит сумму, перехватывает OTP и подтверждает. Всё автоматически. База целей — более 400 банковских и криптовалютных приложений. Распространяется через поддельные сайты, вредоносную рекламу и приложения-дропперы.

ToxicPanda 2.0. Версия 2026 года. Ключевая особенность: использование VPN-разрешения для блокировки Google Play и Play Protect. Троян создаёт локальный сетевой интерфейс и просто отрезает вас от механизмов защиты. Play Protect не может проверить приложение, потому что приложение не даёт ему связаться с сервером. Одновременно троян использует ADB через Wireless Debugging: через Accessibility включает режим разработчика, открывает отладку по Wi-Fi, вытаскивает шестизначный код сопряжения, подключается к ADB-демону внутри телефона и получает shell-доступ. После этого он сам себе выдаёт разрешения, отключает фоновые ограничения и обеспечивает персистентность. 167 команд, 349 целевых приложений, 16 стран.

Manic. Комбинирует банковский троян, шпионское ПО и средства удалённого управления. Отслеживает 169 пакетов: банки, крипто-кошельки, госуслуги, аутентификаторы, мессенджеры. Кража PIN без поддельного экрана: когда Manic определяет цифровую клавиатуру в целевом приложении, он накладывает прозрачный слой поверх настоящих клавиш, записывает координаты нажатий и передаёт их реальному приложению через Accessibility. Банковское приложение работает нормально. Вы видите обычный интерфейс. Ваш PIN уже у злоумышленника.

И самое главное: Manic умеет передавать украденные данные без интернета. Если заражённый телефон не может связаться с C2-сервером, он шифрует собранное, ищет nearby заражённые устройства через Wi-Fi Direct или Bluetooth и передаёт данные через них. До четырёх прыжков. Отключили интернет? Не поможет, если рядом есть ещё один заражённый телефон.

Godfather. Версия 2025 года использует виртуализацию на устройстве. Запускает копию настоящего банковского приложения внутри контролируемой среды. Вы взаимодействуете с «настоящим» интерфейсом, но все вводимые данные перехватываются. Визуальная проверка («экран выглядит как обычно») перестаёт работать.

Falcon. Банковский троян, ориентированный specifically на российских пользователей. Нацелен на более 30 приложений: мобильные банки, инвестиционные сервисы, госсервисы, маркетплейсы, мессенджеры, бесконтактные платежи. С конца 2025 года с его помощью похищают деньги и данные карт клиентов крупнейших российских банков. По оценкам F6, скомпрометированы данные нескольких тысяч банковских карт.

RedWing. Распространяется под видом приложения RadarTrevog — «сервиса тревог» об угрозах воздушных налётов. Расчёт на тревожность российских пользователей. Требует доступ к геолокации, уведомлениям, SMS и Accessibility. После установки — кража денег, перехват аккаунтов, сбор данных. Распространяется через Telegram по модели Malware-as-a-Service.

2.2. Почему это касается вас, даже если вы «осторожны»

Потому что осторожность больше не является надёжной защитой. Anatsa проходил проверку Google Play. ToxicPanda 2.0 блокирует Play Protect. Manic скрывает иконку из лаунчера. Godfather показывает вам настоящее приложение — просто внутри виртуальной машины.

Единственное, что остаётся, — знать, куда смотреть, и вовремя обратиться к тому, кто знает, где смотреть глубже.

3. Самостоятельная проверка: что можно сделать, не будучи экспертом

3.1. Проверка разрешений — первое, что вы должны сделать

Откройте настройки Android. Найдите раздел «Специальные возможности» (Accessibility). Посмотрите список приложений, которые имеют это разрешение.

Если вы видите там «калькулятор», «фонарик», «PDF-сканер», «оптимизатор» или «VPN» — это не норма. Это красный флаг размером с дом.

Accessibility — это разрешение, которое позволяет приложению читать содержимое экрана, нажимать кнопки за вас и перехватывать ввод. Банковское приложение не запрашивает Accessibility. Приложение, которое вы установили для сканирования документов, не должно иметь доступ к тому, что вы вводите в банковском приложении.

Xenomorph, ToxicPanda, Manic, Godfather, Falcon, RedWing — все они используют Accessibility как основной вектор атаки.

Проверьте также:

• Администраторы устройства (Настройки → Безопасность → Администраторы). Незнакомое приложение с правами администратора не даст себя удалить.
• Доступкуведомлениям (Notification Listener). Приложение, которое «читает» ваши push-уведомления, видит коды подтверждения от банка.
• VPN-профили. ToxicPanda 2.0 создаёт VPN-подключение для блокировки Play Protect. Незнакомый VPN-профиль — сигнал тревоги.

3.2. Проверка поведения

Батарея. Если телефон разряжается быстрее обычного в режиме ожидания — это не «старение аккумулятора». Это работа трояна в фоне.

Трафик. Android: Настройки → Сеть → Использование данных. Если приложение, которым вы не пользуетесь, потребляет мегабайты в фоне — оно куда-то передаёт данные.

Нагрев. Телефон, который греется в кармане, пока вы ничего не делаете, — это телефон, который что-то делает за вас.

3.3. Проверка, специфичная для финансовых угроз

Наберите ##002#. Это отменяет все переадресации. Если после этого выяснится, что была активна переадресация SMS или звонков на незнакомый номер — OTP-коды уходили не вам.

Проверьте SMS с кодами. Если приходит код подтверждения для операции, которую вы не инициировали, — устройство скомпрометировано. Не вводите код. Свяжитесь с банком с другого телефона.

Проверьте установленные приложения на предмет «системных» имён. Manic использует пакеты с именами вроде tech.intel.dialer.updater, org.honor.secure.helper, io.motorola.secure.executor. Они мимикрируют под системные компоненты. Если «обновление системы» установлено не через настройки телефона, а как обычное приложение — это не обновление.

3.4. Что делать немедленно, если что-то нашли

• Авиарежим. Отключите передачу данных. Но помните: Manic может передавать данные через nearby устройства даже в авиарежиме.
• Звонок в банк с другого телефона. Заблокируйте карты и счета. Проверьте pending-транзакции.
• Смена паролей. Начните с email. Потом банк. Потом всё остальное.
• Не делайте factory reset, если планируете обращаться к эксперту. Сброс уничтожит доказательства.
• Сфотографируйте экраны с подозрительными приложениями, разрешениями, списком администраторов. Это не экспертиза, но это лучше, чем ничего.

3.5. Чего самостоятельная проверка не даёт

Она не даёт доказательной базы. Она не обнаруживает кастомные сборки, нацеленные на вас лично. Она не находит динамически загружаемый код, который активируется только при определённых условиях. Она не убедит банк. Она не убедит суд.

Для этого нужен эксперт.

4. Когда звонить эксперту (а не в поддержку банка)

4.1. Для физических лиц

Деньги уже ушли, банк отказывает. Стандартный ответ банка: «Операция подтверждена OTP-кодом, значит, совершена клиентом». Экспертное заключение может показать, что OTP был перехвачен вредоносным ПО, а транзакция инициирована программно.

Кредит оформлен, вы его не брали. Банк требует погашения. Экспертиза подтверждает, что заявка подавалась с устройства, заражённого трояном.

Суд с банком или мошенником. Без заключения специалиста ваш иск — это слова против слов. С заключением — это доказательство.

4.2. Для предприятий

Корпоративный смартфон с доступом к клиент-банку. Если сотрудник финансового отдела потерял телефон или установил «оптимизатор» — вы не знаете, что произошло. Экспертиза покажет, был ли доступ к банковским приложениям, перехватывались ли OTP, передавались ли данные.

Хищение средств со счёта компании. Внутреннее расследование, основанное на объяснениях сотрудника, — это не расследование. Это разговор. Заключение эксперта — это документ.

Спор с банком о легитимности транзакции. Банк утверждает, что операция авторизована. Вы утверждаете обратное. Кто-то должен доказать.

5. Методика экспертного исследования: что происходит за закрытыми дверями

5.1. Создание образа памяти

Первое, что делает эксперт, — создаёт бит-в-бит образ устройства. Оригинал не трогают. Все исследования проводятся на копии. Это нужно для того, чтобы доказательства не были оспорены как «изменённые в процессе проверки».

5.2. Анализ файловой системы

Поиск пакетов, которых не должно быть в стоковой прошивке. Проверка скрытых директорий. Выявление артефактов установки APK из неизвестных источников. Поиск приложений, скрывающих иконку из лаунчера (Manic и Anatsa используют эту технику).

5.3. Анализ разрешений и администраторов

Сопоставление набора разрешений с заявленной функциональностью. «PDF-сканер» с Accessibility — аномалия. «Фонарик» с доступом к SMS — аномалия. «VPN» с правами администратора устройства — аномалия.

5.4. Анализ сетевой активности

Журналы соединений, VPN-профили, прокси-настройки. Обращения к известным C2-серверам. Для Android — разбивка использования данных по приложениям.

5.5. Анализ SMS и уведомлений

Восстановление удалённых сообщений. Проверка на наличие перехваченных OTP. Сопоставление времени поступления SMS с временем мошеннических транзакций.

5.6. Корреляция с банковскими транзакциями

Сопоставление времени операций с активностью вредоносного ПО, зафиксированной в журналах. Установление того, что транзакция была инициирована программно, а не пользователем.

5.7. Для суда — аккредитация

Судебная экспертиза должна проводиться организацией, имеющей государственную аккредитацию. Заключение частного специалиста может быть оспорено. Эксперт должен быть готов к допросу.

6. Пять кейсов: как это выглядит на практике

Кейс 1: «Оптимизатор» за 187 000 рублей

Клиент банка, 42 года, обнаружил два списания по 93 500 рублей на счета неизвестных лиц. Банк отказал: «Операции подтверждены OTP-кодами, поступившими на ваш номер».

При осмотре телефона (Android) найдено приложение «Clean Master Pro», установленное за три недели до инцидента из стороннего источника. Accessibility — включён. Администратор устройства — да. В SMS — удалённые сообщения от банка с кодами, время которых совпадало с транзакциями.

Экспертиза (25 000 рублей) выявила: приложение содержало зашифрованный DEX-файл, загружаемый динамически после получения разрешений. Артефакты связи с C2-сервером. Передача данных в момент поступления OTP. Транзакции инициированы программно.

Банк пересмотрел решение. Возместил 70%. Остаток взыскан в суде. Цена вопроса: 25 000 рублей против 187 000, которые могли быть потеряны навсегда.

Кейс 2: Кредит на 350 000, оформленный бывшим мужем

Женщина, 35 лет, обнаружила в кредитной истории заявку на потребительский кредит, который она не оформляла. Кредит выдан. Деньги ушли на счёт третьего лица. Банк требовал погашения.

При осмотре телефона — приложение «Mobile Security», установленное бывшим супругом за два месяца до инцидента «для защиты от мошенников». Доступ к SMS и уведомлениям.

Экспертиза (25 000 рублей): приложение относилось к семейству коммерческого сталкерского ПО, модифицированного для пересылки SMS на внешний номер. В журнале — записи о пересылке всех входящих SMS, включая OTP от банка и кредитной организации, на номер бывшего супруга. Временные метки совпали с подачей заявки и подтверждением.

Уголовное дело по ст. 159.3 УК РФ. Кредитный договор признан недействительным. Бывший супруг привлечён. Цена вопроса: 25 000 рублей против 350 000 долга, который мог остаться на ней.

Кейс 3: Мастер по ремонту и полмиллиона из телефона пенсионерки

Реальный инцидент, описанный кубанским Главком МВД. 67-летняя пенсионерка в станице Анастасиевской наняла мастера для ремонта. Расплатилась честно. Пока хозяйка отвлеклась, «специалист» взял её телефон. Убедившись, что банковское приложение открыто, перевёл на свой счёт 495 тысяч рублей.

Никакого «шпионского ПО» здесь не было. Было открытое банковское приложение и отсутствие контроля над устройством. Но результат тот же: деньги ушли. Уголовное дело возбуждено. Мастера ищут.

Мораль для этой статьи: шпионское ПО — не единственный способ потерять деньги через телефон. Но если бы на телефоне стояла проверка на вредоносное ПО и привычка блокировать приложение банка после использования, история могла бы закончиться иначе.

Кейс 4: 51 миллион рублей с корпоративного счёта

Реальный инцидент, описанный УМВД по Тульской области. Генеральный директор коммерческой организации обнаружил, что со счетов фирмы похищен 51 миллион рублей. Кража совершена с использованием вредоносного ПО, установленного на корпоративный смартфон, имеющий доступ к онлайн-кабинету мобильного банка организации.

Следствие установило и задержало дропперов — людей, предоставивших свои банковские карты для обналичивания. Но ключевой вопрос — как вредоносное ПО попало на корпоративный смартфон — без экспертизы остался бы без ответа.

В подобных случаях экспертиза (от 50 000 рублей, по запросу следствия) устанавливает вектор атаки, время заражения, перехваченные учётные данные. Без этого заключения предприятие не может ни вернуть средства, ни доказать страховой компании факт компрометации.

51 миллион — это не абстракция. Это чей-то оборотный капитал, чья-то зарплата, чьи-то контракты.

Кейс 5: Суд с банком за 89 000 — и почему без экспертизы это было бы проиграно

Клиент, 58 лет, обнаружил списание 89 000 рублей. Банк отказал: «OTP подтверждён, операция ваша». Клиент обратился в суд.

Телефон: Android. За неделю до инцидента установил «PDF Scanner» из Google Play. Приложение работало как сканер. Запрашивало Accessibility. Клиент разрешил — «чтобы удобнее было».

Судебная экспертиза (50 000 рублей): приложение относилось к семейству Anatsa/TeaBot, использующему схему дроппера в Google Play. После установки работало как сканер, но при обновлении загрузило вредоносный модуль. В момент транзакции использовало Accessibility для чтения экрана и перехвата OTP. Журнал сетевой активности зафиксировал передачу данных на известный C2-адрес.

Суд признал: операция совершена без согласия клиента. Банк обязан возместить 89 000 рублей плюс моральный вред и судебные издержки. Эксперт выступил в суде.

Без заключения эксперта этот иск был бы отклонён. Потому что «я не нажимал» — это не доказательство. Это слова.

7. Сколько это стоит и почему дешевле, чем потерять всё

Сравните. 25 000 рублей за заключение, которое может вернуть 187 000. 50 000 за экспертизу, которая может закрыть дело на 2,4 миллиона. 15 000 за справку, которая предотвратит кредит на компанию.

Сравните с ценой бездействия. Банк отказывает. Кредит висит. Суд проигран. Деньги ушли.

8. Профилактика: коротко и без соплей

Для физических лиц:

• Не устанавливайте APK из мессенджеров. Даже если прислал знакомый — его аккаунт мог быть угнан.
• Accessibility — это не «ещё одно разрешение». Это ключ от квартиры. Давайте его только тем приложениям, которые не могут работать без него (и банковские приложения к ним не относятся).
• Проверяйте ##002# раз в месяц. Это бесплатно.
• Если пришёл OTP, который вы не запрашивали, — это не ошибка банка. Это кто-то пытается войти.
• Не оставляйте телефон без присмотра рядом с посторонними. Мастер по ремонту, «соцработник», «родственник» — все они могут открыть ваше банковское приложение за секунды.

Для предприятий:

• Корпоративные устройства с доступом к финансам — не для установки «оптимизаторов». Whitelist. Точка.
• Периодический аудит мобильных устройств финансового контура. Раз в квартал. С согласия сотрудников, но без исключений.
• План реагирования: кто звонит в банк, кто вызывает эксперта, кто принимает решение о блокировке. В момент инцидента времени на согласования нет.

9. Заключение: заплатите сейчас или заплатите потом

Шпионское ПО на смартфоне — это не про ревность. Это про деньги, которые уходят с вашего счёта, пока вы читаете переписку. Xenomorph, ToxicPanda, Manic, Godfather, Falcon — у этих программ нет эмоций. У них есть цели. И цели — ваши счета.

Самостоятельная проверка полезна. Она может выявить грубые аномалии. Она может заставить вас вовремя сменить пароли и заблокировать карту. Но она не создаёт доказательств. Она не убеждает банк. Она не убеждает суд.

Экспертиза стоит денег. 5 000, 15 000, 25 000, 50 000. Это меньше, чем большинство людей теряет при первом успешном хищении. Это несопоставимо меньше, чем корпоративный ущерб от одного заражённого смартфона в финансовом отделе.

Выбор простой: заплатить за проверку или заплатить за то, что вас обокрали.

Услуги по проверке смартфонов на наличие шпионского ПО и подготовке экспертных заключений предоставляются в указанном объёме. Для консультации и записи на предварительный анализ (5 000 ₽) свяжитесь с нами.