Доброго дня, уважаемые коллеги — судьи, следователи, адвокаты, корпоративные юристы и эксперты! ⚖️🏛️ Сегодня мы обращаемся к одной из наиболее острых и методологически сложных областей судебной компьютерно-технической экспертизы — юридически значимому поиску незаконно установленных программ слежения. В условиях стремительного роста числа инцидентов, связанных с нарушением тайны частной жизни, коммерческим шпионажем и хищением денежных средств с банковских счетов, данный вид экспертного исследования приобретает критическое значение как для уголовного преследования, так и для защиты прав граждан и юридических лиц. 🛡️🔐

Почему эта проблема требует юридического осмысления? Согласно данным исследовательской группы Kaspersky, в 2023 году более 42 000 пользователей столкнулись с программами-шпионами (stalkerware). В марте 2025 года «Лаборатория Касперского» зафиксировала первую реальную атаку с использованием коммерческого шпионского ПО Dante (от бывшей HackingTeam) против российских организаций — операция «Форумный тролль». Злоумышленники использовали уязвимость нулевого дня в Chrome: достаточно было открыть ссылку, и устройство заражалось без каких-либо действий со стороны пользователя. Это уже не «бытовые» угрозы — это высокотехнологичное оружие, требующее адекватного правового реагирования. 🚨💣

Мы — команда судебных IT-экспертов, базирующаяся в Москве. Наша специализация — юридически значимый поиск незаконно установленных программ слежения на любых устройствах: от персональных компьютеров и ноутбуков до смартфонов, планшетов и серверного оборудования. Для сложных дел, связанных с анализом стационарных серверов, RAID-массивов и промышленных контроллеров, мы готовы вылетать в любой регион России — от Калининграда до Камчатки. Физический доступ к оборудованию является краеугольным камнем методически верного поиска незаконно установленных программ слежения, особенно когда речь идет о серверных стойках и изолированных системах. 🚁🗺️

В данной статье представлен юридический подход к организации исследования, направленного на поиск незаконно установленных программ слежения. Каждый раздел содержит правовой анализ, процессуальные рекомендации и ссылки на действующее законодательство. Материал структурирован по принципу последовательного перехода от правовой квалификации угроз к процессуальному оформлению результатов и включает реальные кейсы из практики. 📑🔐

📚 Глава 1. Правовая природа программ слежения: понятие и квалификация

Прежде чем перейти к методологии поиска незаконно установленных программ слежения, необходимо чётко определить, что с точки зрения уголовного права является объектом такого поиска. В российском законодательстве отсутствует отдельная статья, прямо называющая «программы слежения», однако существует развёрнутая система норм, позволяющих квалифицировать действия, связанные с их созданием, распространением и использованием.

1.1. Законодательное определение «шпионской техники»

13 августа 2019 года вступили в силу поправки в Уголовный кодекс РФ, которые ввели легальное определение специальных технических средств, предназначенных для негласного получения информации. Согласно примечанию к статье 138.1 УК РФ, под такими средствами понимаются:

«приборы, системы, комплексы, устройства, специальные инструменты для проникновения в помещения и (или) на другие объекты и программное обеспечение для электронных вычислительных машин и других электронных устройств для доступа к информации и (или) получения информации с технических средств ее хранения, обработки и (или) передачи, которым намеренно приданы свойства для обеспечения функции скрытого получения информации либо доступа к ней без ведома ее обладателя».

Ключевой признак: намеренное придание программе свойств, позволяющих осуществлять скрытый сбор информации без ведома обладателя этой информации. Это означает, что профессиональный поиск незаконно установленных программ слежения должен быть направлен на доказательство именно этого признака — наличия у программы функций скрытного получения данных.

1.2. Исключения из правила

Законодатель предусмотрел важные исключения: к категории «шпионских» технических средств не относятся находящиеся в свободном обороте приборы, системы и программы бытового назначения, обладающие функциями аудиозаписи, видеозаписи, фотофиксации и геолокации, если:

• функции управления таким функционалом открыто расположены на устройстве или в интерфейсе;
• имеются элементы индикации, отображающие режимы использования;
• программному обеспечению намеренно не приданы новые свойства, позволяющие скрытно получать информацию.

Практическое значение: это означает, что сам по себе факт наличия программы, способной записывать звук или определять геолокацию, не является основанием для квалификации по ст. 138.1 УК РФ. Необходимо доказать, что программа была намеренно доработана или настроена для скрытного использования.

1.3. Основные составы преступлений, связанных с программами слежения

Профессиональный поиск незаконно установленных программ слежения направлен на выявление артефактов, которые могут свидетельствовать о совершении следующих преступлений :

• Статья 138.1 УК РФ — Незаконный оборот специальных технических средств, предназначенных для негласного получения информации. 🚨⚖️ Данная статья является ключевой для квалификации деяний, связанных с распространением и использованием коммерческих программ-шпионов (stalkerware). Санкция — до 4 лет лишения свободы.
• Статья 272 УК РФ — Неправомерный доступ к компьютерной информации. Применяется в случаях, когда программа-шпион копирует, модифицирует или удаляет данные без согласия владельца устройства. Санкция — до 7 лет лишения свободы.
• Статья 273 УК РФ — Создание, использование и распространение вредоносных программ. Охватывает случаи, когда шпионское ПО обладает способностью к самораспространению или модифицирует системные файлы.
• Статья 183 УК РФ — Незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну. Применяется в делах о корпоративном шпионаже.
• Статья 137 УК РФ — Нарушение неприкосновенности частной жизни. Используется в случаях бытовой слежки, когда нарушается право на тайну личной жизни.

Важное разъяснение: как отметил заместитель директора ФСБ России Александр Купряжкин при обсуждении поправок, телефонный гаджет является бытовым прибором, поэтому для квалификации по ст. 138.1 УК РФ необходимо доказать, что программе намеренно приданы свойства для негласного получения информации. В противном случае применяется ст. 137 УК РФ.

1.4. Проблемы правоприменения и необходимость экспертного заключения

Как отмечалось в ходе обсуждения законопроектов, проблема стала особенно актуальной, когда у каждого человека появилась возможность заказывать товары, содержащие скрытые функции слежения. При отсутствии толкования со стороны законодателя вопрос о том, относится ли обнаруженное оборудование или ПО к специальным техническим средствам, решали суды на основании экспертных заключений.

Депутаты Госдумы, обсуждая поправки, отмечали, что перед судебным процессом проводится соответствующая экспертиза, и разные эксперты могут по-разному оценивать устройства, что создаёт правовую неопределённость. Именно поэтому профессиональный поиск незаконно установленных программ слежения должен проводиться сертифицированными экспертами с использованием аттестованных методик.

📋 Глава 2. Процессуальный порядок назначения и производства экспертизы

Юридически значимый поиск незаконно установленных программ слежения возможен только в рамках строго регламентированной процессуальной процедуры. Любое отклонение от установленного порядка может привести к признанию заключения недопустимым доказательством.

2.1. Основания для назначения экспертизы

Суд, следователь или дознаватель могут назначить судебную компьютерно-техническую экспертизу по поиску незаконно установленных программ слежения в рамках :

• 📑 Уголовного дела (ст. 195 УПК РФ — обязательная экспертиза при наличии специальных знаний) ;
• 📑 Гражданского или арбитражного дела (ст. 79 АПК РФ, ст. 79 ГПК РФ) ;
• 📑 Административного расследования (ст. 26.4 КоАП РФ).

2.2. Типовые вопросы суда и следствия

В постановлении о назначении экспертизы по поиску незаконно установленных программ слежения следователь или суд ставят следующие вопросы :

1. ❓ Обнаружены ли на представленных носителях программы, предназначенные для негласного получения информации?
2. ❓ Каков механизм их работы (кейлоггинг, скриншоттинг, доступ к микрофону/камере, геолокация, перехват сообщений)?
3. ❓ Когда и с какого IP-адреса производилась установка?
4. ❓ Какой объём информации был скомпрометирован и куда она передавалась?
5. ❓ Было ли получено информированное согласие пользователя на установку и использование данного ПО?

2.3. Требования к допустимости доказательств

Экспертное заключение по результатам поиска незаконно установленных программ слежения будет признано судом допустимым доказательством только при соблюдении следующих условий :

• Неизменность объекта исследования: Эксперт работает только с битовой копией носителя, созданной через аппаратный блокиратор записи (write-blocker). Нарушение цепочки хранения доказательств (chain of custody) делает заключение недопустимым.
• Документирование: Каждый этап исследования фиксируется в протоколе с указанием применённых методов, выявленных артефактов и контрольных хеш-сумм (SHA-256).
• Воспроизводимость: Методология должна быть описана так, чтобы любой другой квалифицированный эксперт, следуя ей, мог получить те же результаты.
• Аттестация эксперта: Эксперт должен быть сертифицирован в соответствии с ФЗ № 73-ФЗ «О государственной судебно-экспертной деятельности в РФ» и предупреждён об ответственности по ст. 307 УК РФ за дачу заведомо ложного заключения.

2.4. Юридическая сила экспертного заключения

Заключение эксперта по результатам поиска незаконно установленных программ слежения признаётся самостоятельным источником доказательств в гражданском, арбитражном, уголовном и административном судопроизводстве. Суд оценивает его наравне с другими доказательствами, однако обязан мотивировать как принятие, так и отклонение экспертного заключения.

При досудебном урегулировании споров заключение также играет значительную роль — оно помогает сторонам оценить свои правовые позиции и может стать серьёзным аргументом в переговорах, способствуя достижению мирового соглашения.

🔬 Глава 3. Методология экспертного поиска: юридически значимый подход

Профессиональный поиск незаконно установленных программ слежения строится на строгой, научно обоснованной методологии, соответствующей требованиям цифровой криминалистики (digital forensics) и включающей несколько последовательных уровней анализа.

Этап 1: Подготовка и изоляция — сохранение целостности доказательств 🛡️

Золотое правило цифровой криминалистики: никогда не работать с оригинальным носителем.

• Изоляция: Устройство помещается в экранирующую камеру Фарадея для блокировки всех радиоканалов (GSM/4G/5G, Wi-Fi, Bluetooth, NFC), чтобы предотвратить дистанционную команду на удаление данных (remote wipe).
• Дамп оперативной памяти: До выключения устройства создаётся дамп RAM с помощью специализированных утилит (WinPmem, LiME, FTK Imager). Это критически важно для выявления бесфайловых угроз и инжектированных модулей.
• Создание посекторного образа диска: Использование аппаратных блокираторов записи (write-blocker) для создания битовой копии (dd-образ, E01) с фиксацией контрольных хеш-сумм (SHA-256).
• Для мобильных устройств: Создание физического дампа через аппаратно-программные комплексы (Cellebrite UFED, Oxygen Forensic Detective, Medusa Pro для EMMC).

Этап 2: Статический анализ артефактов 🔎

Анализ данных на образе диска без их выполнения. Это безопасно и позволяет выявить уже известные шпионские приложения.

• Сигнатурный поиск: Использование баз YARA-правил (более 5000 сигнатур spyware) для выявления известных семейств RAT и сталкерского ПО.
• Анализ автозагрузки (персистентности): Исследование всех точек запуска: ключи реестра (Run, RunOnce), планировщик задач (schtasks), службы (services.msc), WMI-подписки на события, драйверы ядра.
• Анализ файловой системы: Поиск скрытых файлов и каталогов, файлов с двойными расширениями, сравнение хэш-сумм системных файлов с эталонными, анализ альтернативных потоков данных NTFS (ADS).
• Анализ MFT и UsnJrnl: Восстановление временной шкалы событий, дат создания, модификации и удаления файлов.
• Анализ теневых копий (VSS): Поиск удалённых установщиков в теневых копиях — часто шпион хранит архивы там.

Этап 3: Динамический анализ в изолированной среде (песочнице) 🏜️

Если статический анализ не дал результатов, подозрительные файлы запускаются в изолированной виртуальной среде для наблюдения за поведением.

• Инструменты: Cuckoo Sandbox, ANY.RUN, CAPE (форк Cuckoo с поддержкой Android).
• Индикаторы заражения в динамике:
  • Попытки доступа к системным файлам (SAM, SECURITY, $MFT).
  • Вызовы SetWindowsHookEx (клавиатурный шпион).
  • Чтение буфера обмена (GetClipboardData).
  • Отправка данных на неизвестные IP-адреса в нестандартные порты.
  • Создание скрытых окон.

Этап 4: Анализ памяти (Memory Forensics) — для самых сложных случаев 🧬

Обнаружение инжектированных модулей, руткитов и буткитов, которые не видны в статике.

• Инструменты: Volatility Framework, Rekall.
• Ключевые задачи:
  • Выявление скрытых процессов (pslist, psscan).
  • Обнаружение внедрённых DLL в легитимные процессы (dlllist, malfind).
  • Анализ открытых сетевых сокетов (netscan).
  • Поиск хуков в системные структуры ядра (apihooks, ssdt).

Этап 5: Сетевой анализ и выявление C&C-серверов 🌐

Любая программа слежения нуждается в управляющем сервере (C&C, C2) и канале эксфильтрации данных.

• Источники: PCAP-логи сетевого оборудования, DNS-логи, логи прокси и межсетевых экранов.
• Индикаторы компрометации (IoC):
  • Регулярные heartbeat-запросы к C&C-серверу (beacon-трафик).
  • DNS-туннелирование (подозрительные длинные поддомены).
  • Анализ TLS-сертификатов (JA3/JA3S-отпечатки).
  • Геолокация серверов: часто Нидерланды, Россия, Германия, Сингапур.

Этап 6: Ручной реверс-инжиниринг — для кастомных имплантов 🔧

Когда автоматические методы бессильны (например, кастомное ПО, написанное под конкретную жертву), применяется дизассемблирование и декомпиляция кода.

• Инструменты: Ghidra (от АНБ), IDA Pro, x64dbg, radare2.
• Цель: Восстановление логики работы, алгоритмов шифрования, методов маскировки и выявление C&C-серверов.

Этап 7: Документирование и оформление заключения 📄

Все результаты оформляются в виде экспертного заключения, имеющего юридическую силу :

• Вводная часть: основания для экспертизы, данные об эксперте (предупреждение по ст. 307 УК РФ), перечень предоставленных объектов и вопросы.
• Исследовательская часть: пошаговое описание действий, использованные инструменты, выявленные артефакты, контрольные хеш-суммы.
• Выводы: наличие или отсутствие шпионского ПО, его функционал, период работы, каналы утечки.

⚡ Глава 4. Реальные кейсы: сценарии проникновения и методы выявления

В рамках профессионального поиска незаконно установленных программ слежения мы сталкиваемся с разнообразными векторами атак. Рассмотрим несколько показательных кейсов.

Кейс №1: «Форумный тролль» — целевая атака через уязвимость нулевого дня в Chrome 🕵️‍♂️💻

• Обстоятельства: В марте 2025 года «Лаборатория Касперского» обнаружила сложную целевую кампанию, нацеленную на сотрудников СМИ, государственных, образовательных и финансовых учреждений в России. Злоумышленники использовали коммерческое шпионское ПО Dante, разработанное итальянской компанией Memento Labs (ранее HackingTeam).
• Вектор проникновения: Zero-click атака через уязвимость нулевого дня в Chrome (CVE-2025-2783). Злоумышленники рассылали персонализированные фишинговые письма с предложением поучаствовать в форуме «Примаковские чтения». Если жертва переходила по ссылке и открывала браузер Chrome, устройство заражалось шпионским ПО LeetAgent. Никаких других действий от пользователя не требовалось.
• Особенности: Dante использует уникальный метод анализа среды, чтобы избежать обнаружения.
• Юридическое значение: Данный кейс показывает, что даже самые защищённые системы могут быть скомпрометированы через уязвимости нулевого дня. Профессиональный поиск незаконно установленных программ слежения здесь становится вопросом не только корпоративной, но и государственной безопасности. 🚨🔐

Кейс №2: Monokle — слежка за активистами в России 👤🔍

• Обстоятельства: Российский программист Кирилл Парубец, задержанный по подозрению в госизмене, после возвращения техники обнаружил на своём смартфоне шпионскую программу семейства Monokle.
• Вектор проникновения: Физический доступ силовиков к устройству во время обыска и ареста. ПО Monokle позволяет записывать нажатия на клавиатуре, фиксировать телефонные звонки и прослушивать микрофон.
• Юридическое значение: Это первый известный случай использования Monokle против активистов в России. Данный кейс подтверждает, что профессиональный поиск незаконно установленных программ слежения важен не только для бизнеса, но и для защиты конституционных прав граждан (ст. 23 Конституции РФ — право на неприкосновенность частной жизни). 🏛️⚖️

Кейс №3: Корпоративный шпионаж — утечка данных через загрузчик в автозагрузке (выезд в Нижний Новгород) 🏢⚙️

• Обстоятельства: Строительная компания обратилась с жалобой: с сервера 1С регулярно утекали налоговые декларации до их официальной подачи.
• Вектор проникновения: На одном из ПК обнаружен загрузчик в автозагрузке userinit.exe, который подтягивал PowerShell-скрипт с немецкого IP-адреса. Скрипт каждую ночь архивировал базы 1С и отправлял через WebDAV.
• Методология поиска: Выездная группа провела поиск незаконно установленных программ слежения на сервере и 6 бухгалтерских рабочих станциях. Анализ автозагрузки и динамический анализ в песочнице позволили выявить цепочку заражения.
• Юридическое значение: Заключение легло в основу уголовного дела о коммерческом шпионаже (ст. 183 УК РФ). 🧾⚖️

Кейс №4: Скрытая установка через прошивку EFI (Москва, медицинский центр) 💉📟

• Обстоятельства: Из частной клиники пропали записи VIP-пациентов. Стандартный поиск незаконно установленных программ слежения на дисках ничего не дал.
• Вектор проникновения: Внедрение в прошивку EFI (буткит).
• Методология поиска: Эксперты извлекли прошивку EFI через SPI-программатор. Внутри была обнаружена внедрённая DLL, которая при загрузке ОС инжектировалась в процесс lsass.exe и перехватывала учётные записи врачей.
• Юридическое значение: Уникальный случай в российской практике. Заключение легло в основу уголовного дела о нарушении врачебной тайны (ст. 137 УК РФ). Этот кейс демонстрирует необходимость включения аппаратного анализа прошивок и загрузочных секторов в арсенал методов поиска незаконно установленных программ слежения самого высокого уровня сложности. 🏥⚖️

Кейс №5: Семейная слежка на устройстве Android (выезд в Краснодар) 👨👩👦📱

• Обстоятельства: В производстве следователя находилось дело по ст. 138 УК РФ. Потерпевший утверждал, что на его ноутбуке установлена программа слежения.
• Вектор проникновения: Физический доступ к устройству, установка сталкерского ПО без согласия владельца.
• Методология поиска: Лабораторный поиск незаконно установленных программ слежения выявил приложение, замаскированное под драйвер принтера, которое отправляло скриншоты на сервер в Нидерландах.
• Юридическое значение: Заключение эксперта легло в основу обвинительного приговора. ⚖️🔒

Кейс №6: Слежка через мобильное устройство — Pegasus на iPhone (выезд в Воронеж) 📱👾

• Обстоятельства: Журналист заподозрил слежку через iPhone. Устройство работало медленно, индикатор микрофона загорался сам по себе.
• Вектор проникновения: Zero-click атака через iMessage или WhatsApp с использованием уязвимости, не требовавшей действий от пользователя.
• Методология поиска: Использован Mobile Verification Toolkit (MVT) для выявления следов Pegasus. Анализ бэкапа iTunes выявил изменённые системные процессы и подозрительные соединения с сервером в ОАЭ.
• Юридическое значение: Заключение эксперта признано доказательством в суде. Профессиональный поиск незаконно установленных программ слежения для iOS — отдельная сложная область, требующая специфических знаний и инструментов. 📱⚖️

💎 Глава 5. Почему самостоятельная проверка не имеет юридической силы

Уважаемые коллеги, запомните критически важное правило: результат проверки любым массовым антивирусом не является доказательством в процессуальном смысле. Это лишь технический сигнал для пользователя. Для суда, следствия или арбитража необходим юридически значимый поиск незаконно установленных программ слежения.

Типичные ошибки при самостоятельной проверке :

1. Запуск антивируса на заражённой системе — руткиты подменяют результаты сканирования. Правильно: загрузка с доверенного внешнего носителя.
2. Анализ только диска, игнорирование RAM — бесфайловые вредоносы остаются незамеченными. Правильно: обязательный дамп памяти перед выключением.
3. Отсутствие эталонных хешей — невозможно отличить системный файл от подделки. Правильно: заранее рассчитать и хранить базу эталонов.
4. Нефиксация действий — результаты невозможно использовать в суде. Правильно: видеосъёмка или составление подробного протокола.
5. Использование только одного инструмента — сложный spyware может использовать анти-отладку. Правильно: комбинация 3-5 инструментов разных классов.

🔗 Профессиональная помощь

В условиях постоянного совершенствования шпионского ПО и ужесточения требований к доказательствам, обращение к сертифицированным судебным экспертам является не просто рекомендацией, а необходимостью. Профессиональный поиск незаконно установленных программ слежения включает:

• Глубину: Работа с физическими дампами памяти и носителей, а не поверхностное сканирование.
• Методологию: Многоуровневый подход от статического анализа до реверс-инжиниринга.
• Юридическую значимость: Оформление результатов в виде экспертного заключения, имеющего силу в суде.
• Опыт: Понимание тактик, методов и процедур (TTP) современных злоумышленников, включая знание MITRE ATT&CK.

Получить полную информацию о методологии, условиях сотрудничества и стоимости услуг вы можете на нашем официальном сайте: https://fedexpertiza.ru/poisk-programm-slezheniya/ 🚀🌟

💎 Заключение

Подводя итог, следует подчеркнуть, что профессиональный поиск незаконно установленных программ слежения — это не просто техническая проверка, а сложный, научно обоснованный экспертный процесс, требующий глубоких знаний в области цифровой криминалистики, процессуального права и реверс-инжиниринга. От грамотного изъятия носителя с использованием write-blocker до составления мотивированного заключения — каждый этап должен быть выверен и задокументирован. 🛡️

Современные злоумышленники используют сложные векторы атак: от физического доступа к устройствам и фишинговых рассылок до целевых атак через уязвимости нулевого дня (zero-click) и внедрения в прошивку EFI. Только многоуровневый подход, сочетающий статический, динамический анализ, форензику памяти и при необходимости реверс-инжиниринг, способен гарантировать детекцию высокотехнологичных угроз и предоставить неопровержимые доказательства в рамках судебного разбирательства. 🔐⚡

Законодательное определение «шпионской техники», введённое в 2019 году, создало правовую основу для квалификации деяний, связанных с программами слежения. Однако его применение на практике требует экспертного заключения, устанавливающего наличие у программы намеренно приданных свойств для скрытного получения информации.

Обращение к сертифицированным специалистам — это не просто рекомендация, а необходимость для тех, кто ценит свою приватность, коммерческую тайну и финансовую безопасность. Профессионально проведённая экспертиза защитит ваши активы, обеспечит неотвратимость наказания для злоумышленников и предоставит юридически значимые доказательства в рамках уголовного, гражданского или арбитражного судопроизводства. ⚖️🌟