Доброго дня, уважаемые коллеги! 🏢 Сегодня мы подготовили для вас фундаментальный, глубокий и системный обзор одной из наиболее востребованных и сложных областей современной компьютерной экспертизы  — поиска шпионских программ и ПО.  В условиях цифровизации всех сфер жизни, от личной переписки до корпоративных финансов, угроза скрытого наблюдения и хищения данных стала реальностью для каждого пользователя.  Настоящая статья написана в строгом деловом стиле, ориентирована на руководителей, юристов, ИТ-директоров и специалистов по информационной безопасности, которым необходимо понимать не только технические, но и процессуальные аспекты обнаружения цифрового шпионажа.  ⚖️

Поиск шпионских программ и ПО  — это не просто запуск антивируса.  Это многоуровневая, наукоемкая процедура, сочетающая методы криминалистики, реверс-инжиниринга, поведенческого анализа и сетевого мониторинга.  Современные шпионские приложения  (spyware, stalkerware, banking trojans) способны маскироваться под системные процессы, использовать легитимные каналы связи и даже внедряться на уровне прошивки устройств, оставаясь невидимыми для стандартных средств защиты.  🛡️

Наша экспертная лаборатория обладает всеми необходимыми компетенциями и оборудованием для проведения независимых расследований.  Мы базируемся в Москве, однако для сложных дел, требующих анализа стационарных серверов, изолированных сетей или оборудования, которое невозможно вывезти, мы готовы вылетать в любой регион России  — от Калининграда до Камчатки.  Физический доступ к устройству является краеугольным камнем методически верного поиска шпионских программ и ПО, особенно когда речь идет о серверных стойках, RAID-массивах или промышленных контроллерах.  🚁

1. Понятие и таксономия угроз: что мы ищем при поиске шпионских программ и ПО 🧩

Прежде чем перейти к методологии, необходимо четко определить предмет экспертизы.  Поиск шпионских программ и ПО направлен на обнаружение классов вредоносного кода, предназначенных для скрытого сбора, агрегации и передачи информации с зараженного устройства без ведома пользователя.

1.1.  Классификация по функциональному назначению 🎯

Поиск шпионских программ и ПО охватывает следующие категории:

• Кейлоггеры (Keyloggers):  Программные или аппаратные модули, перехватывающие нажатия клавиш, включая пароли, пин-коды и номера банковских карт.  Могут внедряться в виде драйверов или хуков в оконную подсистему.
• Трояны удаленного доступа (RAT):  Обеспечивают полный контроль над системой:  активация камеры и микрофона, скриншоттинг, геолокация, кража файлов.  Часто используют легитимные протоколы  (RDP, VNC) для маскировки.
• Банковские трояны и финансовые стилеры: Специализируются на краже денежных средств.  Перехватывают SMS-коды двухфакторной аутентификации, подменяют интерфейсы банковских приложений  (overlay-атаки) и крадут данные банковских карт.
• Сетевые снифферы и эксфильтраторы: Перехватывают сетевой трафик, собирают файлы по расширениям  (.docx,.xlsx,.pdf) и передают на серверы управления  (C&C).

1.2.  Классификация по методам маскировки и устойчивости  (стелс-технологии) 🥷

Современный поиск шпионских программ и ПО невозможен без понимания методов их сокрытия:

• User-Mode Rootkits: Маскируют процессы, файлы и ключи реестра на уровне приложений.
• Kernel-Mode Rootkits: Внедряются в ядро ОС, перехватывая системные вызовы.  Для их обнаружения требуется анализ целостности ядра.
• Буткиты (Bootkits) и прошивочные закладки:  Заражают загрузочные секторы  (MBR) или прошивку UEFI/SPI Flash, активируясь до загрузки ОС.  Поиск шпионских программ и ПО на этом уровне требует извлечения прошивки через SPI-программатор.
• Бесфайловые шпионы: Исполняются только в оперативной памяти, используя легитимные скриптовые движки  (PowerShell, WMI), не оставляя следов на диске.

2. Кейс №1: Внедрение через физический доступ  (Семейная слежка, Москва) 🏠

В лабораторию обратилась гражданка с жалобами на аномальное поведение смартфона:  быстрый разряд батареи, самопроизвольное включение экрана, щелчки во время разговоров.

Процедура исследования  (выезд на дом):

• Изоляция: Устройство помещено в экранированный контейнер для блокировки удаленного управления.
• Создание криминалистической копии: Через аппаратный write-blocker создан побитовый образ всей флеш-памяти.
• Статический анализ: Анализ установленных пакетов выявил приложение, визуально неотличимое от системной службы обновлений, но с поддельной цифровой подписью.

Результат:  Поиск шпионских программ и ПО подтвердил наличие сталкерского модуля, передающего геолокацию и снимки с камеры.  Заключение передано в суд.  📱⚖️

3. Кейс №2: Фишинговая атака через XLL-файл  (Корпоративный шпионаж, Самара) 🏢

Предприятие оборонно-промышленного комплекса заподозрило утечку спецификаций.  Антивирусная защита работала штатно, но на компьютере финансового директора наблюдались аномальные сетевые всплески.

Процедура исследования  (выезд в офис):

• Анализ файловой системы: На жестком диске обнаружен XLL-файл  (надстройка Excel) с названием «Плановые цели противника.xll».  Такие файлы загружаются напрямую Excel, получая полный доступ к системе.
• Динамический анализ: В изолированной среде установлено, что при запуске надстройки активируется бэкдор, собирающий данные об устройстве и отправляющий их на сервер управления.
• Восстановление цепочки: Эксперты восстановили метаданные файла, указывающие на фишинговое письмо.

Результат:  Поиск шпионских программ и ПО позволил идентифицировать вредонос как EchoGather, связанный с группировкой Paper Werewolf.  Заключение стало основанием для уголовного дела.  📊

4. Кейс №3: Атака с использованием коммерческого шпионского ПО Dante 🕵️‍♂️

В марте 2025 года «Лаборатория Касперского» обнаружила сложную целевую кампанию, в которой использовалась уязвимость нулевого дня в Chrome.  Злоумышленники рассылали персонализированные фишинговые письма сотрудникам российских организаций.  Достаточно было открыть ссылку  — устройство заражалось без дополнительных действий.

Процедура исследования:
В операции использовалось шпионское ПО LeetAgent.  Детальный анализ показал, что это коммерческое шпионское ПО Dante, разработанное итальянской компанией Memento Labs  (ранее HackingTeam).  В коде Dante и инструментов, используемых в операции, присутствовал похожий код.

Результат:  Поиск шпионских программ и ПО позволил идентифицировать вредонос и связать его с известным производителем шпионского ПО.  Этот случай демонстрирует, что даже коммерческие продукты для слежки могут использоваться в реальных атаках.  🎯

5. Кейс №4: Шпион Batavia  — кража данных российских организаций 🇷🇺

С начала марта 2025 года зафиксирован рост детектирования вредоносных файлов с именами типа договор-2025-5.vbe среди сотрудников российских организаций.  Целевая атака начиналась с рассылки писем под предлогом подписания договора.

Процедура исследования:
Вредонос состоит из VBE-скрипта-загрузчика и двух исполняемых файлов  (WebView.exe и javav.exe).  Скрипт загружал и запускал WebView.exe, который, в свою очередь, собирал системные журналы и офисные документы, делал скриншоты и отправлял на C&C-сервер.  Третий этап  (javav.exe) расширял список собираемых расширений и добавлял возможность смены командного центра.

Результат:  Поиск шпионских программ и ПО позволил восстановить полную цепочку атаки и идентифицировать новый шпионский инструментарий, нацеленный на российский сектор.  🔬

6. Методология криминалистического поиска: пошаговый протокол ⚙️

Эффективный поиск шпионских программ и ПО строится на строго формализованной процедуре, гарантирующей неизменность и юридическую значимость цифровых доказательств.

6.1.  Подготовительный этап  (Непосредственно на объекте) 📐

• Фиксация состояния: Фото- и видеофиксация системного времени, сетевых индикаторов, состояния оборудования.
• Отключение сетей: Извлечение патч-кордов или включение режима «в самолете» для предотвращения удаленной команды на самоуничтожение.  Отключение питания запрещено  — это уничтожает следы в оперативной памяти.
• Дамп оперативной памяти (RAM):  Захват содержимого RAM через WinPMEM  (Windows) или LiME  (Linux).
• Создание образа диска: Использование аппаратных блокираторов записи  (write-blocker) и создание посекторной копии  (dd, E01) с контролем хешей SHA-256.

6.2.  Статический анализ  (Анализ на копии) 📂

• Сигнатурный поиск: Использование YARA-правил и баз ClamAV.  Поиск шпионских программ и ПО с помощью сигнатур эффективен для известных образцов, но ограничен против полиморфных угроз.
• Анализ точек персистенции: Проверка реестра  (Run, RunOnce), планировщика задач, системных служб, WMI-подписок, драйверов ядра.
• Анализ скрытых областей: Альтернативные потоки NTFS  (ADS), теневые копии  (VSS), область загрузчика EFI  (SPI Flash).

6.3.  Динамический анализ  (Поведенческий анализ в песочнице) 🧪

Запуск подозрительных файлов в изолированной среде  (Cuckoo Sandbox, CAPE) с мониторингом системных вызовов, обращений к реестру и сетевой активности.

Индикаторы заражения:  Попытки доступа к системным базам данных  (SAM, SECURITY), вызов функций перехвата клавиатуры  (SetWindowsHookEx), отправка данных на неизвестные IP-адреса.

6.4.  Ручной реверс-инжиниринг  (Для сложных и кастомных угроз) 🧬

Дизассемблирование и декомпиляция кода с использованием IDA Pro или Ghidra.  Поиск шпионских программ и ПО на уровне исходного кода позволяет выявить скрытые функции, алгоритмы шифрования и C&C-адреса, даже если они не проявляются в динамике.

7. Особенности поиска на мобильных устройствах (Android/iOS) 📱

Мобильные телефоны стали основной целью для шпионажа.  Поиск шпионских программ и ПО на смартфонах требует специфических подходов.

7.1.  Android 🤖

• Главная цель: Приложения с правами специальных возможностей  (Accessibility Service).  Это основной вектор для сталкерваров и банковских троянов, так как доступ к Accessibility позволяет читать все, что отображается на экране.
• Метод: Анализ APK-файлов, проверка разрешений  (доступ к SMS, контактам, геолокации, камере), декомпиляция байт-кода.

7.2.  iOS  (iPhone) 🍏

• Главная цель: Основные пути  — профили конфигурации  (MDM), эксплуатация уязвимостей WebKit и использование корпоративных сертификатов.
• Метод: Анализ бэкапа iTunes через Mobile Verification Toolkit  (MVT), проверка наличия неизвестных профилей конфигурации, поиск индикаторов шпионского ПО Pegasus или Graphite.

8. Процессуальное оформление результатов: от отчета до суда 📄

Любая техническая находка приобретает юридическую силу только при соблюдении процессуальных норм.  Поиск шпионских программ и ПО в рамках судебной экспертизы оформляется в виде заключения эксперта в соответствии со ст.  204 УПК РФ, ст.  86 ГПК РФ или ст.  55 АПК РФ.

Заключение должно содержать:

• Вводную часть: Основания для экспертизы, предупреждение об ответственности за дачу ложного заключения.
• Исследовательскую часть: Пошаговое описание действий эксперта с указанием использованного ПО и оборудования, хеш-суммы всех промежуточных и итоговых артефактов.
• Выводы: Категорические ответы на поставленные судом вопросы  (не «вероятно», а «обнаружено/не обнаружено»).

Критически важно:  Нарушение цепочки хранения доказательств  (Chain of Custody) или работа с оригиналом носителя вместо копии делают заключение недопустимым доказательством  (ст.  75 УПК РФ).

9. Заключение: почему профессиональная экспертиза критически важна 🎯

Самостоятельная попытка удалить подозрительное ПО или провести поверхностную проверку часто уничтожает следы и делает невозможным привлечение злоумышленников к ответственности.  Поиск шпионских программ и ПО должен выполняться профессионалами, так как ошибки на этапе изъятия и анализа могут стоить вам не только денег, но и правовой защиты.

Мы обладаем необходимым технологическим стеком:  X-Ways Forensics, EnCase, Volatility 3, Ghidra, профессиональными аппаратными write-blocker’ами.  Мы выезжаем на место в любую точку России, когда вывоз оборудования запрещен или опасен.  Мы гарантируем не просто удаление шпиона, а сохранение цепочки хранения цифровых доказательств.  🔐

Более подробно с методологией и примерами заключений вы можете ознакомиться на нашем профильном ресурсе:  https://фсэ.рф 🖥️