Это не статья о ревнивых супругах, которые ставят друг другу «слежку». Это статья о том, как с вашего счёта исчезают деньги, пока вы читаете чужие переписки. Банковские трояны 2026 года — Falcon, ToxicPanda 2.0, RedWing — не интересуются вашей личной жизнью. Они интересуются вашим банковским приложением. И они уже научились обходиться без вас: автоматизированные системы переводов, перехват OTP, блокировка антивирусов, передача данных через соседние телефоны. Пособие адресовано тем, кто уже потерял деньги и получил от банка отказ, и тем, кто пока только подозревает, что с телефоном что-то не так. Приводятся классификация угроз, алгоритм самостоятельной проверки, методика профессиональной экспертизы, пять кейсов и цены на услуги. Тон — свободный, местами провокационный. Потому что вежливо говорить о том, что вас обкрадывают, уже бессмысленно.

1. Введение: хватит врать себе, что это про любовь

1.1. Реальность, которую не хотят замечать

Каждый раз, когда речь заходит о шпионском ПО, разговор сворачивает в сторону бытовых драм. Муж поставил жене сталкер. Жена поставила мужу. Оба читают переписку. Оба чувствуют себя в праве. Это скучно. И это не имеет отношения к тому, что происходит на самом деле.

Настоящая угроза выглядит иначе. Она не ревнует. Она не читает ваши сообщения. Она ждёт, пока вы откроете банковское приложение, и делает всё остальное сама.

Банковский троян Falcon, нацеленный на российских пользователей, с конца 2025 года похищает деньги и данные карт клиентов крупнейших банков. По оценкам F6, скомпрометированы данные нескольких тысяч банковских карт. Он запрашивает Accessibility — и получает практически неограниченный контроль над устройством: чтение SMS, перехват кодов подтверждения, совершение звонков, USSD-запросы и операции через мобильный банк даже без подключения к интернету.

ToxicPanda 2.0 пошёл дальше: он блокирует Google Play и Play Protect через локальный VPN, прежде чем начать работать. То есть отключает охранную сигнализацию до того, как вы успели что-то заподозрить. 167 удалённых команд. 349 целевых финансовых приложений в 16 странах.

RedWing распространяется под видом приложения RadarTrevog — «сервиса тревог» об угрозах воздушных налётов. Расчёт на тревожность российских пользователей. За два месяца — с середины июля по середину сентября 2026 года — количество скомпрометированных Android-устройств в России превысило 10 тысяч. После получения доступа к Accessibility троян «исчезает»: обнаружить его следы на устройстве крайне трудно.

Пока вы читаете эту фразу, где-то кто-то нажимает «Подтвердить» в приложении банка, не понимая, почему баланс обнулился.

1.2. Для кого это

Для тех, у кого уже украли деньги. Для тех, кому банк отказал, сославшись на «действия клиента». Для тех, кто обнаружил в кредитной истории заявку, которую не подавал. Для предприятий, чей корпоративный смартфон с доступом к клиент-банку оказался проводником для хищения.

Для тех, кто пока не потерял ничего, но хочет понимать, где находится кнопка «самоуничтожение» — и не нажимать её.

1.3. О чём это пособие не будет

Это пособие не будет учить вас «проверять, не следит ли за вами партнёр». Если это ваша проблема — обратитесь к семейному психологу. Здесь речь о деньгах. О конкретных суммах, которые уходят со счетов. О кредитах, которые оформляются на ваше имя. О том, как доказать, что вы этого не делали.

2. Кто вас обкрадывает: классификация без иллюзий

2.1. Банковские трояны — главный враг

Falcon. Основан на банковском трояне Anubis, но заметно «прокачался». С 2025 года злоумышленники используют обновлённую версию с модулем VNC для удалённого управления устройством и возможностью передавать украденные данные через Telegram. Нацелен на более чем 30 приложений: мобильные банки, инвестиционные сервисы, госсервисы, маркетплейсы, мессенджеры, бесконтактные платежи. Схема классическая: когда пользователь запускает целевое приложение, троян накладывает поверх него фейковое окно с практически идентичным дизайном. Пользователь сам вводит данные карты, логины и пароли, не подозревая, что работает уже не с настоящим приложением.

ToxicPanda 2.0. Версия 2026 года. Ключевая особенность: использование VPN-разрешения для блокировки Google Play и Play Protect. Троян создаёт локальный сетевой интерфейс и просто отрезает вас от механизмов защиты. Одновременно использует ADB через Wireless Debugging: через Accessibility включает режим разработчика, открывает отладку по Wi-Fi, вытаскивает шестизначный код сопряжения, подключается к ADB-демону внутри телефона и получает shell-доступ. После этого сам себе выдаёт разрешения, отключает фоновые ограничения и обеспечивает персистентность. 167 команд, 349 целевых приложений, 16 стран.

RedWing. Распространяется через Telegram по модели Malware-as-a-Service как минимум с начала 2026 года. Два варианта: RAT для удалённого управления (позволяет незаметно совершать финансовые операции и выводить деньги) и стилер для сбора информации. Функционал включает удалённое управление, инжектирование фишинговых страниц, кейлоггер, просмотр экрана, камер и прослушивание микрофонов. После предоставления доступа к Accessibility троян запускает поток с прокруткой постоянного беззвучного аудиотрека, чтобы обойти ограничения фоновой работы Android. Обнаружить его следы на устройстве крайне трудно.

Grandoreiro. Новый вариант, нацеленный на финансовые учреждения и частных лиц по всему миру. Использует Ciphertext Stealing (CTS) для шифрования вредоносных строк, Domain Generation Algorithms (DGA) для сокрытия C2-серверов, отслеживание поведения мыши, продвинутые техники обхода песочниц. Перехватывает коды двухфакторной аутентификации и имитирует активность легитимных банковских приложений.

RemControl. Обнаружен Group-IB. Нацелен на розничных банковских клиентов в Западной Европе, на Ближнем Востоке и в Канаде. Подтверждено targeting более 30 банковских учреждений в шести странах. Разработчик, предположительно русскоязычный оператор, использовал AI-ассистента для создания значительной части C2-бэкенда и фишинговых оверлеев, убедив модель, что создаёт приложение для родительского контроля.

2.2. Почему это касается вас, даже если вы «осторожны»

Потому что осторожность больше не является надёжной защитой. Вредоносные приложения появляются не только на сомнительных сайтах. В 2025 году вредоносная программа SparkCat проникла в телефоны через приложения, доступные в App Store и Google Play Store, которые были загружены сотни тысяч раз и сканировали фотогалереи в поисках скриншотов фраз восстановления криптокошельков.

Динамическая загрузка кода (Dynamic Code Loading) означает: в момент установки приложение выглядит абсолютно чистым, и даже Google Play Protect не поднимает тревогу. Вредоносная логика подгружается позже, уже после того, как пользователь дал все необходимые разрешения.

Единственное, что остаётся, — знать, куда смотреть, и вовремя обратиться к тому, кто знает, где смотреть глубже.

3. Самостоятельная проверка: что можно сделать, не будучи экспертом

3.1. Проверка разрешений — первое, что вы должны сделать

Откройте настройки Android. Найдите раздел «Специальные возможности» (Accessibility). Посмотрите список приложений, которые имеют это разрешение.

Если вы видите там «калькулятор», «фонарик», «PDF-сканер», «оптимизатор» или «VPN» — это не норма. Это красный флаг размером с дом.

Accessibility — это разрешение, которое позволяет приложению читать содержимое экрана, нажимать кнопки за вас и перехватывать ввод. Falcon, ToxicPanda, RedWing, RemControl — все они используют Accessibility как основной вектор атаки.

Проверьте также:

• Администраторы устройства (Настройки → Безопасность → Администраторы). Незнакомое приложение с правами администратора не даст себя удалить.
• Доступкуведомлениям (Notification Listener). Приложение, которое «читает» ваши push-уведомления, видит коды подтверждения от банка.
• VPN-профили. ToxicPanda 2.0 создаёт VPN-подключение для блокировки Play Protect. Незнакомый VPN-профиль — сигнал тревоги.

3.2. Проверка поведения

Батарея. Если телефон разряжается быстрее обычного в режиме ожидания — это не «старение аккумулятора». Это работа трояна в фоне. Шпионское ПО постоянно мониторит микрофон и камеру, периодически передаёт данные по сети, обрабатывает обновления геолокации — всё это потребляет энергию, даже когда экран выключен.

Трафик. Android: Настройки → Сеть → Использование данных. Если приложение, которым вы не пользуетесь, потребляет мегабайты в фоне — оно куда-то передаёт данные. Неизвестное приложение или системный процесс, потребляющий сотни мегабайт, — серьёзный красный флаг.

Нагрев. Телефон, который греется в кармане, пока вы ничего не делаете, — это телефон, который что-то делает за вас.

3.3. Проверка, специфичная для финансовых угроз

Наберите ##002#. Это отменяет все переадресации. Если после этого выяснится, что была активна переадресация SMS или звонков на незнакомый номер — OTP-коды уходили не вам. Для проверки перед отменой наберите *#21#, чтобы увидеть, включена ли безусловная переадресация.

Проверьте SMS с кодами. Если приходит код подтверждения для операции, которую вы не инициировали, — устройство скомпрометировано. Не вводите код. Свяжитесь с банком с другого телефона.

Индикаторы приватности. На Android 12+ Панель конфиденциальности (Настройки → Конфиденциальность → Панель конфиденциальности) показывает временную шкалу с информацией о том, какие приложения и когда получали доступ к камере, микрофону и геолокации. На iPhone экран «Конфиденциальность и безопасность» демонстрирует сводку недавней активности. Если индикатор появляется, когда вы не используете соответствующее приложение, — это прямой признак несанкционированного доступа.

3.4. Что делать немедленно, если что-то нашли

• Авиарежим. Отключите передачу данных. Это немедленно остановит передачу данных.
• Звонок в банк с другого телефона. Заблокируйте карты и счета. Проверьте pending-транзакции.
• Смена паролей. Начните с email. Потом банк. Потом всё остальное. Меняйте пароли не на скомпрометированном устройстве — используйте другое.
• Не делайте factory reset, если планируете обращаться к эксперту. Сброс уничтожит доказательства.
• Сфотографируйте экраны с подозрительными приложениями, разрешениями, списком администраторов.

3.5. Чего самостоятельная проверка не даёт

Она не даёт доказательной базы. Она не обнаруживает кастомные сборки, нацеленные на вас лично. Она не находит динамически загружаемый код, который активируется только при определённых условиях. Она не убедит банк. Она не убедит суд.

Для этого нужен эксперт.

4. Когда звонить эксперту (а не в поддержку банка)

4.1. Для физических лиц

Деньги уже ушли, банк отказывает. Стандартный ответ банка: «Операция подтверждена OTP-кодом, значит, совершена клиентом». Экспертное заключение может показать, что OTP был перехвачен вредоносным ПО, а транзакция инициирована программно.

Кредит оформлен, вы его не брали. Банк требует погашения. Экспертиза подтверждает, что заявка подавалась с устройства, заражённого трояном.

Суд с банком или мошенником. Без заключения специалиста ваш иск — это слова против слов. С заключением — это доказательство.

4.2. Для предприятий

Корпоративный смартфон с доступом к клиент-банку. Если сотрудник финансового отдела потерял телефон или установил «оптимизатор» — вы не знаете, что произошло. Экспертиза покажет, был ли доступ к банковским приложениям, перехватывались ли OTP, передавались ли данные.

Хищение средств со счёта компании. Внутреннее расследование, основанное на объяснениях сотрудника, — это не расследование. Это разговор. Заключение эксперта — это документ.

Спор с банком о легитимности транзакции. Банк утверждает, что операция авторизована. Вы утверждаете обратное. Кто-то должен доказать.

5. Методика экспертного исследования: что происходит за закрытыми дверями

5.1. Создание образа памяти

Первое, что делает эксперт, — создаёт бит-в-бит образ устройства. Оригинал не трогают. Все исследования проводятся на копии. Это нужно для того, чтобы доказательства не были оспорены как «изменённые в процессе проверки».

5.2. Анализ файловой системы

Поиск пакетов, которых не должно быть в стоковой прошивке. Проверка скрытых директорий. Выявление артефактов установки APK из неизвестных источников. Поиск приложений, скрывающих иконку из лаунчера (RedWing и другие используют эту технику).

5.3. Анализ разрешений и администраторов

Сопоставление набора разрешений с заявленной функциональностью. «PDF-сканер» с Accessibility — аномалия. «Фонарик» с доступом к SMS — аномалия. «VPN» с правами администратора устройства — аномалия.

5.4. Анализ сетевой активности

Журналы соединений, VPN-профили, прокси-настройки. Обращения к известным C2-серверам. Для Android — разбивка использования данных по приложениям.

5.5. Анализ SMS и уведомлений

Восстановление удалённых сообщений. Проверка на наличие перехваченных OTP. Сопоставление времени поступления SMS с временем мошеннических транзакций.

5.6. Корреляция с банковскими транзакциями

Сопоставление времени операций с активностью вредоносного ПО, зафиксированной в журналах. Установление того, что транзакция была инициирована программно, а не пользователем.

5.7. Для суда — аккредитация

Судебная экспертиза должна проводиться организацией, имеющей государственную аккредитацию. Заключение частного специалиста может быть оспорено. Эксперт должен быть готов к допросу.

6. Пять кейсов: как это выглядит на практике

Кейс 1: Фишинговое SMS и 950 000 рублей

Гражданин получил SMS от имени крупного банка о блокировке карты и ссылку для разблокировки. Перешёл, ввёл логин, пароль и код подтверждения. Через два часа обнаружил списание 950 000 рублей.

В рамках досудебной экспертизы проведена полная проверка телефона. Анализ истории браузера выявил ссылку на фишинговый сайт, визуально копировавший портал банка. В системном разделе памяти обнаружено скрытое приложение без иконки, установленное в момент перехода по ссылке. Дизассемблирование кода выявило функции перехвата OTP из SMS и их ретрансляцию на сервер злоумышленников.

Экспертное заключение передано в правоохранительные органы для возбуждения уголовного дела по ст. 159.6 УК РФ и использовано в банке для запуска процедуры страхового возмещения. Цена вопроса: 25 000 рублей против 950 000, которые могли быть потеряны навсегда.

Кейс 2: Файл от «коллеги» и 30 000 рублей

40-летняя жительница Йошкар-Олы открыла присланный в мессенджере файл от коллеги. Аккаунт коллеги был взломан, а отправленный файл с расширением APK оказался шпионской программой.

Полицейские эксперты установили: вредоносное приложение предоставило злоумышленникам доступ к SMS-кодам для проведения банковских операций. С карты женщины похищено почти 30 000 рублей. Возбуждено уголовное дело по п. «г» ч. 3 ст. 158 УК РФ (кража с банковского счёта).

Мораль: файл от знакомого — не гарантия безопасности. Аккаунт мог быть угнан. APK в мессенджере — это не «картинка», это установочный файл.

Кейс 3: «Это ты на видео?» и микрозайм на 14 000

39-летнему жителю Озерска в соцсети пришло сообщение со страницы знакомого: «Привет, это ты на видео?» с ссылкой. Любопытство обернулось потерей денег: вместо видео на смартфон загрузился вредоносный APK.

Полицейские установили: файл оказался шпионской программой, позволяющей перехватывать SMS и полностью контролировать телефон через удалённый доступ. Вскоре на телефон стали массово поступать SMS с кодами подтверждения. С их помощью злоумышленники оформили микрозайм на 14 000 рублей и перевели деньги на свой счёт. Возбуждено уголовное дело по ч. 3 ст. 158 УК РФ.

Мораль: «Это ты на видео?» — классическая приманка. Если ссылка ведёт на APK, это не видео. Это троян.

Кейс 4: 51 миллион рублей с корпоративного счёта

Реальный инцидент, описанный УМВД по Тульской области. Генеральный директор коммерческой организации обнаружил, что со счетов фирмы похищен 51 миллион рублей. Кража совершена с использованием вредоносного ПО, установленного на корпоративный смартфон, имеющий доступ к онлайн-кабинету мобильного банка организации.

Следствие установило и задержало дропперов — людей, предоставивших свои банковские карты для обналичивания. Но ключевой вопрос — как вредоносное ПО попало на корпоративный смартфон — без экспертизы остался бы без ответа.

В подобных случаях экспертиза (от 50 000 рублей, по запросу следствия) устанавливает вектор атаки, время заражения, перехваченные учётные данные. Без этого заключения предприятие не может ни вернуть средства, ни доказать страховой компании факт компрометации.

51 миллион — это не абстракция. Это чей-то оборотный капитал, чья-то зарплата, чьи-то контракты.

Кейс 5: Суд с банком за 89 000 — и почему без экспертизы это было бы проиграно

Клиент, 58 лет, обнаружил списание 89 000 рублей. Банк отказал: «OTP подтверждён, операция ваша». Клиент обратился в суд.

Телефон: Android. За неделю до инцидента установил «PDF Scanner» из Google Play. Приложение работало как сканер. Запрашивало Accessibility. Клиент разрешил — «чтобы удобнее было».

Судебная экспертиза (50 000 рублей): приложение относилось к семейству, использующему схему дроппера в Google Play. После установки работало как сканер, но при обновлении загрузило вредоносный модуль. В момент транзакции использовало Accessibility для чтения экрана и перехвата OTP. Журнал сетевой активности зафиксировал передачу данных на известный C2-адрес.

Суд признал: операция совершена без согласия клиента. Банк обязан возместить 89 000 рублей плюс моральный вред и судебные издержки. Эксперт выступил в суде.

Без заключения эксперта этот иск был бы отклонён. Потому что «я не нажимал» — это не доказательство. Это слова.

7. Сколько это стоит и почему дешевле, чем потерять всё

Сравните. 25 000 рублей за заключение, которое может вернуть 950 000. 50 000 за экспертизу, которая может закрыть дело на 51 миллион. 15 000 за справку, которая предотвратит кредит на компанию.

Сравните с ценой бездействия. Банк отказывает. Кредит висит. Суд проигран. Деньги ушли.

8. Профилактика: коротко и без сополей

Для физических лиц:

• Не устанавливайте APK из мессенджеров. Даже если прислал знакомый — его аккаунт мог быть угнан.
• Accessibility — это не «ещё одно разрешение». Это ключ от квартиры. Давайте его только тем приложениям, которые не могут работать без него (и банковские приложения к ним не относятся).
• Проверяйте ##002# раз в месяц. Это бесплатно.
• Если пришёл OTP, который вы не запрашивали, — это не ошибка банка. Это кто-то пытается войти.
• Не оставляйте телефон без присмотра рядом с посторонними. Мастер по ремонту, «соцработник», «родственник» — все они могут открыть ваше банковское приложение за секунды.

Для предприятий:

• Корпоративные устройства с доступом к финансам — не для установки «оптимизаторов». Whitelist. Точка.
• Периодический аудит мобильных устройств финансового контура. Раз в квартал. С согласия сотрудников, но без исключений.
• План реагирования: кто звонит в банк, кто вызывает эксперта, кто принимает решение о блокировке. В момент инцидента времени на согласования нет.

9. Заключение: заплатите сейчас или заплатите потом

Шпионское ПО на смартфоне — это не про ревность. Это про деньги, которые уходят с вашего счёта, пока вы читаете переписку. Falcon, ToxicPanda, RedWing, Grandoreiro, RemControl — у этих программ нет эмоций. У них есть цели. И цели — ваши счета.

Самостоятельная проверка полезна. Она может выявить грубые аномалии. Она может заставить вас вовремя сменить пароли и заблокировать карту. Но она не создаёт доказательств. Она не убеждает банк. Она не убеждает суд.

Экспертиза стоит денег. 5 000, 15 000, 25 000, 50 000. Это меньше, чем большинство людей теряет при первом успешном хищении. Это несопоставимо меньше, чем корпоративный ущерб от одного заражённого смартфона в финансовом отделе.

Выбор простой: заплатить за проверку или заплатить за то, что вас обокрали.

Услуги по проверке смартфонов на наличие шпионского ПО и подготовке экспертных заключений предоставляются в указанном объёме. Для консультации и записи на предварительный анализ (5 000 ₽) свяжитесь с нами.