От авторов: зачем написана эта работа

Эта монография написана не для того, чтобы напугать. Она написана для того, чтобы разозлить.

Разозлить вас на тех, кто превратил ваш собственный смартфон в оружие против вас. На тех, кто звонит «из банка», втирается в доверие, уговаривает установить «обновление безопасности» — а потом спокойно оформляет на ваше имя кредит, пока вы пьёте чай на кухне и не понимаете, почему телефон вдруг перестал реагировать на касания.

Разозлить на тех, кто годами продаёт «программы для контроля» супругов и сотрудников, а потом эти же программы всплывают в криминальных схемах — с вашими паролями, вашими кодами из SMS, вашими деньгами.

И разозлить на тех, кто говорит: «Да кому ты нужен, тебя не взломают». Взломают. Уже взломали. Вопрос только в том, когда вы это обнаружите — до того, как деньги уйдут, или после того, как банк пришлёт уведомление о кредите, который вы «оформили».

Эта работа — не рекламный проспект. Хотя в ней есть цены. Она о том, как проверить телефон, что искать, и почему самостоятельная проверка «на глазок» может стоить вам доказательств, а значит — и денег.

Мы не будем делать вид, что проблема только в ревнивых мужьях и жёнах. Это было бы удобно. Но это ложь. Современное шпионское ПО — это финансовое оружие. И относиться к нему нужно соответственно.

Глава 1. Смартфон как кошелёк, который вы оставляете без присмотра

1.1. Вы думаете, что в телефоне — переписка. В телефоне — ваши деньги

Давайте без иллюзий. Ваш смартфон — это не «средство связи». Это банковский терминал, токен двухфакторной аутентификации, ключ к «Госуслугам», хранилище паролей и точка входа в корпоративную почту. Всё это лежит в одном устройстве, которое вы носите в кармане и иногда оставляете на столе в кафе.

Когда кто-то получает доступ к вашему телефону — легально или нелегально, через вредоносное ПО или через вашу же невнимательность, — он получает не «доступ к переписке». Он получает доступ к подтверждению любых операций. Потому что банк, который «заботится о вашей безопасности», присылает код подтверждения именно сюда. На этот телефон. Который уже не совсем ваш.

И вот здесь начинается самое неприятное. Шпионское ПО, которое изначально создавалось для «слежки за неверным супругом» или «контроля сотрудников», функционально ничем не отличается от банковского трояна. Ему точно так же нужен доступ к SMS. Ему точно так же нужен Accessibility Service — «специальные возможности», которые позволяют читать экран и нажимать кнопки за вас. Ему точно так же нужно уметь скрывать своё присутствие.

Разница только в том, кто и с какой целью это использует. И в том, что «слежка за супругом» хотя бы как-то объяснима (не оправдана, но объяснима) человеческими эмоциями. А хищение денег через тот же функционал — это уже не эмоции. Это бизнес.

1.2. Почему «проверить на шпиона» — неправильный вопрос

Люди приходят с формулировкой: «Проверьте, не следит ли за мной кто-то». И это понятный запрос. Но он уводит в сторону.

Правильный вопрос звучит иначе: «Не созданы ли на моём устройстве условия для того, чтобы меня обокрали?»

Потому что «слежка» — это процесс. А «хищение» — это результат. И если вы пришли с подозрением на слежку, вы уже опоздали как минимум наполовину. Вас уже могут не просто «смотреть» — вас уже могут «использовать».

Вот типичная схема, которую описывают исследователи Group-IB. Злоумышленник звонит, представляется сотрудником банка, говорит, что с вашей картой «проблема». Убеждает установить приложение — «для защиты». Вы устанавливаете. Даёте разрешение на «специальные возможности» — потому что вам сказали, что без этого «защита не работает». И вот у злоумышленника удалённый доступ к вашему телефону.

Дальше — ещё интереснее. Он устанавливает второй модуль, WindRelay, который использует NFC. И просит вас приложить банковскую карту к телефону. Ввести PIN. «Для проверки». Вы прикладываете. Вводите. И в этот момент ваш телефон превращается в поддельный считыватель карт, который передаёт данные вашей карты злоумышленнику в реальном времени.

Всё. Вы даже не успели понять, что произошло. А с вашего счёта уже ушли деньги, или на вас уже оформлен кредит, или и то и другое.

И самое неприятное: это не экзотика. Это работающая схема. Она описана, задокументирована, и она работает.

1.3. Кто в зоне риска

Физические лица. Все, у кого есть банковское приложение и привычка отвечать на звонки с незнакомых номеров. Особенно — люди старшего возраста, которые доверяют «сотрудникам банка» и не разбираются в разрешениях Android.

Предприятия. Все, чьи сотрудники используют смартфоны для доступа к корпоративным счетам. Бухгалтер, который «просто посмотрел смс», может стать точкой входа для хищения средств всей компании. И это не преувеличение.

И отдельно — те, кто живёт с мыслью «меня это не касается». Именно они обычно и обнаруживают проблему последними. Потому что шпионское ПО не кричит «я здесь». Оно молчит. И работает.

Глава 2. Как выглядит угроза, если смотреть на неё без иллюзий

2.1. Функции, которые убивают

Не нужно быть экспертом, чтобы понять логику. Достаточно посмотреть, что умеет современное шпионское ПО — и что из этого напрямую конвертируется в деньги.

Перехват SMS. Банк присылает код. Злоумышленник его читает. Вы не видите ни SMS, ни списания. Всё.

Доступ к уведомлениям. Push-уведомления от банковского приложения. «Перевод выполнен». Вы не видите. Злоумышленник видит. Или, точнее, скрывает от вас.

Accessibility Service. «Специальные возможности». Читает экран. Нажимает кнопки. Открывает банковское приложение. Делает перевод. Вы в это время смотрите телевизор.

Overlay. Подменяет окно ввода. Вы думаете, что вводите пароль в банковское приложение. На самом деле — в поддельное окно, которое выглядит точно так же. Пароль уходит злоумышленнику. Банк получает правильный пароль от «вас». Все довольны. Кроме вас.

RAT. Удалённое управление. Полный контроль. Экран, нажатия, установка приложений, звонки. Вы даже не заметите, что ваш телефон кому-то «одолжили».

Сокрытие иконки. Приложение есть. Но вы его не видите. Оно работает в фоне. Ест батарею. Греет телефон. Передаёт данные. А вы думаете: «Что-то телефон стал быстро разряжаться».

2.2. Красные флаги, которые нельзя игнорировать

Специалисты по безопасности перечисляют стандартный набор признаков: быстрый разряд батареи, нагрев без нагрузки, аномальный расход трафика, незнакомые приложения, странные SMS. Всё это верно. Но есть нюанс, о котором обычно не говорят.

Отсутствие признаков — это не признак отсутствия.

Современное вредоносное ПО маскируется. Оно не светится в списке приложений под именем «Spy». Оно называется «System Service» или «Phone Health». Оно не греет телефон постоянно — только когда передаёт данные. Оно не ест батарею «на глазах» — только в фоне, по чуть-чуть.

И если вы проверили телефон «на глазок», не нашли ничего подозрительного и успокоились — вы не проверили телефон. Вы проверили своё ощущение спокойствия. Это разные вещи.

2.3. Где грань между «слежкой» и «кражей»

Формально — в цели. Функционально — нигде.

Stalkerware, установленный «для контроля», имеет те же разрешения, что и banking trojan. Он точно так же читает SMS. Точно так же имеет доступ к уведомлениям. И если человек, установивший его, решит — или если его собственное устройство будет скомпрометировано — эти данные могут быть использованы для чего угодно.

Более того, исследователи прямо указывают: приложения-«следилки» часто имеют слабую защиту, потому что создатели думают о продажах, а не о безопасности. И данные, собранные такими приложениями, утекают. Были случаи, когда в открытый доступ попадали сотни тысяч записей из «шпионских» приложений — включая банковские данные и адреса электронной почты клиентов.

То есть человек, который «просто хотел узнать, с кем переписывается жена», в итоге сливает в открытый доступ свои собственные данные. И данные жены. И, возможно, данные её банковского счёта.

Это не моральная дилемма. Это техническая реальность.

Глава 3. Что делать, если вы подозреваете худшее

3.1. Не делайте глупостей

Первая реакция большинства людей: «Я сейчас всё удалю и сброшу телефон». Это худшее, что можно сделать, если вы планируете обращаться в банк или полицию.

Почему? Потому что удаление приложения уничтожает доказательства. Сброс до заводских настроек — тем более. Вы останетесь с фактом списания денег и без единого доказательства того, что на телефоне было вредоносное ПО. Банк скажет: «Вы сами перевели». Полиция скажет: «Нет состава». И будут правы — с их точки зрения, потому что вы уничтожили то, что могло бы стать основанием для проверки.

Правильная последовательность:

• Зафиксируйте состояние. Дата, время, модель, версия ОС. Скриншоты. Не трогайте подозрительные приложения.
• Изолируйте устройство от сети. Авиарежим. Это остановит передачу данных, если она ещё идёт.
• Не сбрасывайте. Не удаляйте. Даже если очень хочется.
• Обратитесь к специалисту. Или хотя бы к нам. Предварительный анализ стоит пять тысяч. Это дешевле, чем потерять пятьдесят.

3.2. Что можно проверить самому (и почему этого недостаточно)

Проверить список приложений, включая системные. Проверить Accessibility — какие приложения имеют доступ к «специальным возможностям». Проверить администраторов устройства. Проверить доступ к уведомлениям. Проверить, не включена ли переадресация вызовов — наберите ##002#.

Всё это полезно. Всё это может выявить грубые случаи. Но не может дать гарантии.

Разработчики инструмента Mobile Verification Toolkit, который используется для поиска шпионского ПО, прямо пишут: публичные индикаторы компрометации недостаточны для вывода о том, что устройство «чисто». Опора только на них может пропустить свежие следы и создать ложное чувство безопасности.

То есть «я проверил, ничего не нашёл» — это не «всё хорошо». Это «я не нашёл того, что искал, потому что не знал, где искать».

3.3. Когда нужен профессионал

Профессионал нужен тогда, когда последствия ошибки слишком велики. Если вы просто хотите убедиться, что «всё нормально» — самостоятельной проверки может хватить. Если деньги уже ушли, если на вас уже оформили кредит, если вы собираетесь судиться с банком или писать заявление в полицию — самостоятельная проверка не заменит экспертизу.

Потому что экспертиза — это не «посмотрел и сказал». Это:

• создание образа устройства с хэшированием;
• документирование цепочки хранения;
• статический и динамический анализ;
• корреляция активности ПО с финансовыми операциями;
• выводы, оформленные так, чтобы их можно было использовать в суде.

И вот здесь мы переходим к тому, что обычно вызывает больше всего вопросов. К цене.

Глава 4. Сколько стоит правда (и почему она стоит именно столько)

4.1. Четыре уровня — четыре задачи

Мы не продаём «проверку телефона». Мы продаём доказательства. И их глубина зависит от того, что вы собираетесь с ними делать.

Предварительный анализ — 5 000 рублей.
Вы не знаете, есть ли проблема, но чувствуете, что что-то не так. Мы проводим первичную диагностику, оцениваем вероятность компрометации, говорим, стоит ли копать глубже. Это не документ для суда. Это ответ на вопрос «надо ли мне беспокоиться».

Краткая справка по исследованию — 15 000 рублей.
Вам нужен документ для банка или для внутреннего разбирательства. Мы фиксируем результаты проверки, перечисляем индикаторы, описываем подозрительные приложения и разрешения. Этого может хватить, чтобы банк начал разбирательство. Но для суда — недостаточно.

Развёрнутое заключение — 25 000 рублей.
Вы готовитесь к суду или к обращению в правоохранительные органы. Мы делаем полное исследование: образ, анализ, описание функциональности ПО, корреляция с финансовыми событиями. Это документ, который имеет доказательственную силу.

Экспертиза по запросу суда или следствия — от 50 000 рублей.
Дело уже в процессе. Экспертиза назначается официально. Мы работаем в рамках процессуальных требований, даём подписку об ответственности по статье 307 УК РФ. Это не «мнение специалиста». Это доказательство.

4.2. Почему «дорого» — это неправильный вопрос

25 000 рублей за заключение, которое может вернуть вам 500 000 рублей, похищенных со счёта, — это не «дорого». Это дешевле, чем ничего не делать.

Проблема в том, что люди готовы платить за видимые вещи. За новый телефон. За ремонт машины. За отпуск. Но за «проверку телефона на вирусы» — жаба душит. Потому что результат невидим. Пока не придёт уведомление о кредите.

И вот здесь я позволю себе быть резким. Если вы готовы потерять деньги, но не готовы потратить пять тысяч на то, чтобы понять, как вы их теряете, — вы не жертва обстоятельств. Вы жертва собственной экономии.

4.3. Для предприятий — отдельный разговор

Когда речь идёт о корпоративных счетах, цена ошибки умножается на количество нулей. Телефон бухгалтера, через который прошёл вредоносный APK, — это не «личная проблема сотрудника». Это инцидент безопасности, который может стоить компании миллионов.

Предприятиям мы говорим прямо: аудит устройств, имеющих доступ к онлайн-банку, — это не «дополнительная опция». Это гигиена. И если вы её не соблюдаете, вы рискуете не «репутацией», а конкретными деньгами на конкретном счёте.

Глава 5. Пять историй, которые должны были закончиться иначе

Ниже — пять кейсов. Они не выдуманы «для драматизма». Они собраны из реальных инцидентов, описанных исследователями и правоохранительными органами. Имена изменены, но схемы — настоящие.

Кейс 1. «Сотрудник банка» и тридцать минут, которых хватило

Женщина, назовём её Анна, получила звонок. «Сотрудник банка» сказал, что с её картой «проблема». Нужно установить приложение — «для защиты». Анна установила. Дала разрешение на «специальные возможности» — потому что без этого «защита не работает».

Дальше — по схеме Group-IB. Злоумышленник установил WindRelay. Попросил приложить карту к телефону. Ввести PIN. Анна приложила и ввела. Её телефон на несколько секунд стал считывателем карт, передав данные злоумышленнику.

Параллельно, через Accessibility Service, злоумышленник открыл банковское приложение и оформил кредит на имя Анны. Деньги ушли на счёт, который Анна никогда не видела.

Вся операция заняла около тридцати минут.

Что можно было сделать иначе. Не устанавливать приложение по телефонному указанию. Повесить трубку. Перезвонить в банк по номеру с сайта. Это всё. Тридцать минут могли не случиться.

Что можно сделать после. Если телефон ещё не сброшен — экспертиза. Без неё доказать, что кредит оформлен не вами, а через вредоносное ПО на вашем устройстве, будет крайне сложно.

Кейс 2. Файл от знакомой в Telegram

Жительница Бурятии получила в Telegram файл от знакомой. Открыла. Телефон перестал реагировать. Через некоторое время выяснилось: на её имя оформлен кредит на 508 тысяч рублей.

Суд признал кредитный договор недействительным. Но только после того, как было установлено: файл содержал вредоносное ПО, которое дало злоумышленникам удалённый доступ к устройству.

Почему это важно. Ссылка пришла от знакомой. Не от «сотрудника банка». Не от «Госуслуг». От человека, которому доверяли. Аккаунт знакомой, скорее всего, был скомпрометирован — но какая разница, если файл уже открыт?

Урок. Доверие к отправителю не равно безопасности файла. Вредоносное ПО распространяется через угнанные аккаунты, и это работает именно потому, что мы не ждём угрозы от друзей.

Кейс 3. Приложение-справочник, которое стоило 90 тысяч

Мужчина скачал приложение — справочник глубины прудов. На следующий день телефон перестал реагировать на касания. Начали приходить уведомления о списаниях. Аферисты оформили кредиты почти на 90 тысяч рублей.

Почему это важно. Приложение выглядело безобидно. Не «защита карты». Не «обновление безопасности». Справочник. Глубина прудов. Кто заподозрит справочник?

Урок. Заявленная функциональность ничего не значит. APK-файл может содержать что угодно. Если приложение установлено не из официального магазина — вы не знаете, что именно вы установили.

Кейс 4. «Сжатие файлов» и удалённый доступ

Студентка из Нефтекамска установила приложение «для сжатия и хранения информации». Файл оказался заражённым APK. Злоумышленник получил удалённый доступ к телефону, открыл банковское приложение и похитил деньги с кредитной карты. Часть похищенного студентка потом погасила сама — не понимая, что делает.

Почему это важно. Потребность в утилитарных функциях — сжатие, очистка, экономия батареи — эксплуатируется постоянно. Потому что эти приложения не вызывают подозрений. Они «полезные».

Урок. Чем полезнее выглядит приложение, тем внимательнее нужно проверять, откуда оно. Особенно если оно просит разрешения, которые не нужны для его работы.

Кейс 5. Manic: когда телефон ворует даже без интернета

Android-троян Manic использует Accessibility Service, чтобы создать невидимую клавиатуру поверх реальной. Вы вводите пароль в банковском приложении. Банк получает правильный пароль. Вы не замечаете подмены. Но каждое нажатие записано и отправлено.

Уникальность Manic в другом. Если интернета нет, троян сканирует окружение, находит другой заражённый телефон с подключением, и передаёт данные через него. Цепочка может включать до четырёх устройств.

Почему это важно. «У меня нет интернета, значит, я в безопасности» — это иллюзия. Современное вредоносное ПО адаптируется. Оно ищет обходные пути. Оно не останавливается.

Урок. Безопасность — это не «выключить Wi-Fi». Это понимание того, что устройство может быть скомпрометировано, и готовность это проверить.

Глава 6. Что делать предприятиям (и почему им это нужно больше, чем кажется)

6.1. Телефон бухгалтера — это дверь в кассу

Предприятия обычно думают о безопасности так: «У нас есть антивирус на компьютерах, файрвол, и всё нормально». А потом бухгалтер устанавливает на свой смартфон «обновление безопасности», потому что ему позвонили «из банка». И через два дня корпоративный счёт пустеет.

Потому что телефон бухгалтера — это не «личное устройство сотрудника». Это точка доступа к корпоративным финансам. Через него проходят коды подтверждения, через него открывается онлайн-банк, через него подтверждаются платежи.

И если на этом телефоне есть шпионское ПО — неважно, установленное «для контроля» или «для кражи», — корпоративные деньги под угрозой.

6.2. Что должно быть в политике безопасности

Запрет sideload. Установка приложений из неизвестных источников на устройствах, имеющих доступ к финансам, — это не «риск». Это гарантированный канал проникновения.

MDM-политики. Контроль устанавливаемых приложений, контроль разрешений, контроль конфигураций. Это не «бюрократия». Это то, что отличает компанию, которая «слышала о безопасности», от компании, которая её имеет.

Аудит устройств с доступом к онлайн-банку. Проверка Accessibility, администраторов, сертификатов, подозрительных приложений. Регулярно. Не «когда что-то случится».

Обучение сотрудников. Не «лекция про пароли раз в год». А конкретное правило: никогда не устанавливайте приложения по указанию человека, который позвонил вам по телефону. Ни «сотрудника банка», ни «из Госуслуг», ни «из службы безопасности». Перезвоните. Проверьте. Не устанавливайте.

Регламент действий при инциденте. Если подозрение возникло — не сбрасывать, не удалять, изолировать, звонить эксперту. Каждый сотрудник должен это знать. Потому что первые действия после инцидента определяют, будут ли доказательства.

6.3. Почему «сэкономить» здесь не работает

Компания, которая экономит 25 тысяч на экспертизу, рискует потерять миллионы на хищении. И даже если хищение произошло, без экспертизы она не сможет ни вернуть деньги через суд, ни привлечь виновных. Потому что «мы думаем, что это был вирус» — это не доказательство. Это мнение.

А мнение в суде стоит ровно столько, сколько стоит бумага, на которой оно написано. Если оно вообще написано.

Глава 7. Вместо заключения: просыпайтесь

7.1. Три вещи, которые нужно запомнить

Первое. Шпионское ПО на смартфоне — это не «слежка». Это доступ к вашим деньгам. Функции, которые позволяют читать SMS и нажимать кнопки за вас, — это функции, которые позволяют опустошить ваш счёт и оформить на вас кредит. Разница только в том, успели ли вы заметить.

Второе. Самостоятельная проверка «на глазок» не даёт гарантии. Она может выявить грубые случаи. Она не может подтвердить, что устройство «чисто». Если на кону деньги — нужна экспертиза. Не потому что мы так говорим. А потому что иначе ваши доказательства ничего не стоят.

Третье. Пять тысяч за предварительный анализ — это не «дорого». Это цена чашки кофе в хорошем ресторане, умноженная на пять. И это несопоставимо с ценой бездействия.

7.2. Кому мы это говорим

Физическим лицам. Если вы читаете это и думаете «меня не касается» — возможно, вы правы. А возможно, вы просто ещё не получили звонок «из банка». Или не заметили, что телефон стал быстрее разряжаться. Или не связали списание в 300 рублей с «той странной ссылкой» неделю назад.

Предприятиям. Если у вас есть сотрудники с доступом к корпоративным счетам — у вас есть проблема, даже если вы о ней не знаете. Вопрос только в том, узнаете вы о ней до хищения или после.

Всем остальным. Если вы дочитали до этого места и всё ещё думаете, что «это не про вас» — перечитайте кейсы. Они все начинались с «я думал, что это не про меня».

7.3. И последнее

Мы не можем заставить вас проверить телефон. Мы не можем заставить вас задуматься. Мы можем только сказать: те, кто это делает, не спят. Они работают. Они звонят. Они убеждают. Они устанавливают. Они ждут, пока вы расслабитесь.

Проверка телефона — это не паранойя. Это гигиена. Такая же, как мыть руки перед едой. Только на кону — не расстройство желудка, а ваши деньги, ваша кредитная история и, возможно, ваша способность доказать, что вы не делали того, чего не делали.

Пять тысяч. Пятнадцать. Двадцать пять. Пятьдесят. Это не «расценки на услуги». Это цена доказательства. И если вы готовы платить за новый телефон, но не готовы платить за то, чтобы понять, что на нём происходит, — вы платите дважды. Второй раз — дороже.