Доброго дня, уважаемые коллеги — системные администраторы, специалисты по информационной безопасности, руководители IT-отделов, юристы и все, кто столкнулся с подозрением на скрытое наблюдение, утечку данных или необъяснимое исчезновение средств с банковских счетов! 👋💻📱

Сегодня мы с вами разбираем одну из самых сложных и чувствительных тем в области компьютерной криминалистики — поиск шпионских программ, направленных на сбор конфиденциальной информации, кражу денежных средств и негласное наблюдение за пользователями. Это не просто «проверка антивирусом» — это полноценное лабораторное исследование, требующее глубоких знаний в области цифровой криминалистики, реверс-инжиниринга и процессуального права. 🧠🔬

Сразу обозначим нашу позицию: мы — команда судебных IT-экспертов, базирующаяся в Москве. Однако для сложных дел, для анализа стационарных серверов, серверов синхронизации и корпоративной IT-инфраструктуры мы готовы вылетать в любой регион России — от Калининграда до Камчатки. Физический доступ к оборудованию — это краеугольный камень методически верного поиска шпионских программ, особенно когда речь идет о серверных стойках, RAID-массивах и промышленных контроллерах. 🚁🖥️

В этой статье мы рассмотрим реальные кейсы, методики обнаружения и процессуальные аспекты. Поиск шпионских программ в корпоративной среде требует комплексного подхода, а поиск шпионских программ на мобильных устройствах — особых инструментов и навыков. Мы покажем, что поиск шпионских программ — это не разовая акция, а системный процесс, и что поиск шпионских программ позволяет не только выявить угрозу, но и собрать доказательства для суда. Наша лаборатория в Москве, но для анализа стационарных серверов мы готовы вылетать в любой регион России. 🛰️🚀

Раздел 1. Таксономия угроз: что мы ищем и почему это сложно

Шпионское программное обеспечение — это класс программ, предназначенных для скрытого сбора, агрегации и передачи информации с зараженного устройства. Сложность поиска шпионского ПО заключается в его маскировке: современные образцы:

• 🔹 Обфусцируют свой код (используют упаковщики вроде UPX, VMProtect, Themida)
• 🔹 Маскируются под системные процессы (svchost.exe, System, kernel_task)
• 🔹 Используют легитимные каналы связи (HTTPS, DNS-over-HTTPS, Telegram Bot API)
• 🔹 Имеют механизмы самоуничтожения при обнаружении отладки или антивируса
• 🔹 Работают в режиме загрузчика, загружая основное тело только из C&C-сервера

Согласно данным «Лаборатории Касперского», за последние два года топ-3 стран, которые чаще всего используют шпионские приложения для слежки — это Россия, Бразилия и Индия. Около 10% всех шпионских атак и сталкинга в мире направлены на российских пользователей. Активность шпионских и сталкерских программ в мире выросла более чем на 20% по сравнению с 2020 годом.

Особую опасность представляют программы, нацеленные на хищение денежных средств. Как сообщила председатель Банка России Эльвира Набиуллина, мошенники стали использовать вредоносную программу типа SpyNote, с помощью которой они могут получить доступ к телефону человека и опустошить счета. По данным ЦБ, 40–50% хищений денег со счетов совершается при помощи этой программы.

Раздел 2. Кейс № 1: Финансовый троян после перехода по фишинговой ссылке

Исходные данные. В нашу лабораторию обратился гражданин (назовем его для соблюдения конфиденциальности заявителем № 1). Заявитель сообщил, что получил текстовое сообщение от имени крупного банка. В сообщении содержалась информация о блокировке банковской карты и ссылка для разблокировки. Заявитель перешел по ссылке. Открывшийся сайт визуально полностью копировал официальный портал банка. Заявитель ввел свой логин, пароль и код подтверждения из текстового сообщения. Через два часа заявитель обнаружил, что с его банковского счета списано 950 000 рублей.

Суть атаки. На хакерских форумах активно предлагаются в аренду вредоносные программы для Android, которые умеют подменять экраны банковских приложений и сайтов, показывая жертве фальшивые формы. Подготовлено более 700 шаблонов таких подмен, с помощью которых выманивают логины, пароли и коды подтверждения. Вредонос также перехватывает нажатия клавиш, включая ввод PIN-кодов, работает с SMS: читает сообщения, отправляет их, удаляет и собирает историю переписки и контактов.

Этапы поиска шпионских программ:

• Создана побитовая копия внутреннего накопителя смартфона.
• Анализ истории браузера выявил ссылку на фишинговый сайт, который на момент исследования уже не функционировал.
• В системном разделе памяти обнаружено приложение, установленное в тот же день, что и переход по ссылке. Приложение не имело иконки и было скрыто из общего списка установленных программ.
• Приложение запрашивало доступ к текстовым сообщениям, уведомлениям и возможность отображать окна поверх других приложений.
• Выполнен анализ исполняемого файла и выявлены функции перехвата одноразовых паролей, поступающих в текстовых сообщениях от банка.

Результат. Вредоносный модуль был удален с сохранением всех пользовательских данных. Составлено деловое заключение, которое было передано в правоохранительные органы для возбуждения уголовного дела. Заключение также использовано в банке для запуска процедуры страхового возмещения. Этот случай показывает, что поиск шпионских программ на мобильных устройствах должен включать не только сканирование, но и глубокий анализ системных артефактов. Поиск шпионских программ в подобных случаях позволяет восстановить цепочку заражения и подготовить доказательства для суда. Мы в Москве, но для анализа стационарных серверов готовы вылетать в любой регион России.

Раздел 3. Кейс № 2: Корпоративный шпионаж через модифицированный драйвер

Исходные данные. Крупный производитель автокомпонентов заподозрил утечку чертежей. Сотрудники жаловались на «перебои с интернетом», но провайдер не фиксировал сбоев. Внутренний аудит не выявил вредоносного ПО на рабочих станциях. Владелец бизнеса заподозрил промышленный шпионаж.

Суть атаки. Злоумышленник заранее модифицировал драйвер сетевого адаптера (NIC) на нескольких ключевых серверах. При загрузке драйвер инициировал теневой сетевой туннель, через который дублировались пакеты с определёнными типами. Никаких процессов в системе не появлялось, антивирусы и EDR-решения не срабатывали, так как закладка работала на уровне ядра ОС (kernel-mode). Драйвер был подписан украденным сертификатом.

Этапы поиска шпионских программ:

• Использован анализатор сетевых пакетов в режиме мониторинга (промышленная PCAP-запись).
• Выявлены пакеты, которые шли на нестандартный порт в направлении IP-адреса, не принадлежащего ни одному из бизнес-партнёров.
• Проведён анализ хеш-сумм сетевых драйверов — обнаружено несоответствие эталонным версиям.
• С помощью дампа памяти ядра получен код закладки.
• Проведено аппаратное тестирование сетевой карты: обнаружено, что закладка была прописана не только в драйвере, но и в EEPROM сетевой карты.

Результат. Обнаружены три сервера с закладкой, через которые утекала информация о закупках и новых разработках. Установлен бывший IT-директор. Поставлено оборудование, произведена смена IP-адресации. Данный пример показывает, что поиск шпионских программ не заканчивается на антивирусе. Поиск шпионских программ на уровне ядра и EEPROM требует уникального оборудования и методик. Мы в Москве, но для анализа стационарных серверов готовы вылетать в любой регион России.

Раздел 4. Кейс № 3: Сталкерское ПО на Android-смартфоне

Исходные данные. В лабораторию обратилась гражданка с жалобами на аномальное поведение ее смартфона под управлением Android: быстрый разряд аккумулятора, наличие щелчков и эха во время телефонных разговоров, самопроизвольное включение экрана в ночное время, фиксация неизвестного сетевого трафика. Заявительница находилась в процессе расторжения брака и подозревала супруга в установке шпионского ПО.

Суть атаки. Устройство было заражено сталкерским ПО (stalkerware) — классом приложений, которые рекламируются как «инструменты родительского контроля», но отличаются от легитимного родительского контроля скрытностью. Сталкерские приложения регулярно передают на сервер геолокацию жертвы, способны отправлять переписки и другую конфиденциальную информацию, включать звукозапись с микрофона.

Этапы поиска шпионских программ:

• Устройство помещено в экранирующую камеру для блокировки всех каналов связи.
• Создана побитовая копия внутренней памяти.
• Анализ установленных приложений выявил пакет с названием, визуально неотличимым от системной службы обновлений. Отличие заключалось в одной букве в имени пакета. Цифровая подпись приложения не соответствовала сертификату разработчика.
• Приложение запрашивало доступ к микрофону, камере, геолокации, контактам, текстовым сообщениям и возможности записи экрана.

Результат. Вредоносный пакет был удален с сохранением всех пользовательских данных. Составлено заключение, которое использовано в судебном процессе. Супруг признал факт установки ПО. Мы в Москве, но для сложных дел готовы вылетать в любой регион России.

Раздел 5. Каналы проникновения: как шпионское ПО попадает в вашу систему

• Фишинговые письма — через Office-документы с макросами, PDF с эксплойтами, ссылки на поддельные страницы входа.
• Вредоносные приложения — под видом «официальных» обновлений, игр, VPN-клиентов. По данным ESET, чаще всего такое ПО распространяется через «клоны» легальных приложений из неофициальных магазинов.
• Физический доступ к устройству — прямая установка злоумышленником, часто с предварительным получением прав суперпользователя (root) на Android.
• Аппаратные закладки — через вредоносные USB-устройства, модифицированные сетевые карты, перехват на уровне BIOS/UEFI.
• Беспроводной перехват — через поддельные Wi-Fi-точки доступа, IMSI-катчеры (поддельные вышки сотовой связи).
• Атаки на цепочку поставок — компрометация легитимных приложений на этапе разработки или распространения.

Раздел 6. Лабораторная методика: многоуровневая модель исследования

Профессиональное выявление следов шпионской деятельности основано на методологии цифровой криминалистики и предполагает последовательное прохождение нескольких фаз.

Фаза 1. Предварительный анализ и изоляция. Устройство помещается в экранирующую камеру Фарадея для блокировки всех радиоканалов. Осуществляется документальная фиксация физического состояния устройства и создание физического дампа памяти с использованием аппаратно-программных комплексов.

Фаза 2. Детальное исследование. Работа ведется с полученным образом памяти, что исключает изменение оригинальных данных. Включает: восстановление файловой структуры, сравнение хэш-сумм системных библиотек, анализ метаданных и артефактов, поиск индикаторов компрометации (IoC).

Фаза 3. Поведенческий анализ в изолированной среде. Воссоздание критических участков файловой системы для запуска подозрительных процессов. Мониторинг системных вызовов, попыток доступа к чувствительным данным и установки сетевых соединений.

Фаза 4. Синтез и документирование. Все выявленные артефакты связываются в логическую цепочку, доказывающую факт установки и функционирования шпионского ПО. Результаты оформляются в виде детального экспертного заключения, которое может иметь юридическую силу.

Раздел 7. Почему штатные решения не видят шпионское ПО

Антивирусы и даже EDR-решения работают на основе сигнатур и поведенческих алгоритмов. Шпионское ПО, написанное под конкретную задачу, не имеет сигнатуры. Современные атаки используют:

• LOLBins (Living Off the Land Binaries) – использование легитимных системных утилит для выполнения вредоносных команд.
• Обход файловой системы – работа в памяти (fileless malware), без записи на диск.
• Криптографическое шифрование трафика – использование HTTPS, DoH, скрытых каналов в DNS-запросах.
• Подпись драйверов украденными сертификатами – система доверяет подписи.

Именно поэтому поиск шпионских программ должен быть лабораторным и комплексным. Мы в Москве, но для анализа стационарных серверов готовы вылетать в любой регион России.

Раздел 8. Инструментарий для поиска шпионских программ

• Для статического анализа: X-Ways Forensics, EnCase Forensic, Autopsy, FTK — анализ файловой системы, поиск артефактов, сравнение хэшей.
• Для анализа памяти: Volatility 3 — поиск инжектов, скрытых процессов, сетевых соединений из дампа RAM.
• Для сетевого анализа: Wireshark, NetworkMiner — захват и анализ сетевого трафика, выявление подозрительных соединений.
• Для мобильных устройств: UFED Cellebrite, Oxygen Forensic, MVT (Mobile Verification Toolkit).
• Для сигнатурного поиска: YARA-правила — более 5000 сигнатур spyware.

Раздел 9. Процессуальное оформление результатов

Заключение эксперта по итогам поиска шпионских программ может стать основанием для возбуждения уголовного дела по ст. 138, 138.1, 272, 273 УК РФ. Типовые вопросы суда эксперту:

• Обнаружены ли на представленных носителях программы, предназначенные для негласного получения информации?
• Каков механизм их работы?
• Когда и с какого IP-адреса производилась установка?
• Какой объём информации был скомпрометирован?

Раздел 10. Приглашение на сайт

Уважаемые коллеги! Мы показали реальные случаи, методики и инструменты. Союз «Федерации судебных экспертов» приглашает вас на консультацию и диагностику. Доверьте безопасность профессионалам. Мы находимся в Москве, но для сложных дел и анализа стационарных серверов готовы вылетать в любой регион России. 🏢🛡️

Подробнее о наших услугах: https://sud-expertiza.ru

Раздел 11. Финальный аккорд

Дорогие друзья! Поиск шпионских программ — это не страшилка из новостей. Это реальная угроза, которая уже коснулась тысяч компаний и частных лиц. Поиск шпионских программ — это единственный способ разорвать цепочку утечки. Поиск шпионских программ — это необходимая мера, если вы цените свою информацию. Поиск шпионских программ — это наша специализация. И мы готовы прийти на помощь в любой точке России. ✈️🔐

С уважением и готовностью защищать,
Союз «Федерации судебных экспертов» 🛡️💻🔍