Настоящая монография представляет собой научно-методологическое исследование проблемы обнаружения вредоносного программного обеспечения на мобильных устройствах, функциональность которого выходит за пределы бытового мониторинга и включает перехват учётных данных банковских приложений, кодов подтверждения транзакций и удалённое управление устройством с целью хищения денежных средств. Работа адресована специалистам в области цифровой криминалистики, судебным экспертам, а также физическим лицам и организациям, перед которыми стоит задача процессуально корректной фиксации факта компрометации устройства.

Введение

Проблематика обнаружения шпионского программного обеспечения на мобильных устройствах традиционно рассматривается в контексте межличностного контроля или родительского надзора. Однако статистические данные последних лет свидетельствуют о смещении акцента в сторону финансово мотивированных атак. Согласно отчётам Kaspersky, Android-устройства подвержены целевым атакам stalkerware и банковских троянов в существенно большей степени, нежели устройства под управлением iOS, хотя обе платформы не являются полностью иммунными. При этом современные образцы вредоносного кода маскируются под системные утилиты с нейтральными названиями, что затрудняет их визуальную идентификацию.

С научно-методологической точки зрения принципиально разграничивать два класса задач. Первая — обнаружение факта наличия постороннего программного обеспечения. Вторая — установление причинно-следственной связи между функционированием этого программного обеспечения и конкретными финансовыми потерями (несанкционированное списание, оформление кредита). Настоящая работа последовательно рассматривает обе задачи, акцентируя внимание на ограничениях методов, доступных неспециалисту, и на необходимости перехода к инструментальному исследованию при наступлении правовых последствий.

Центральным вопросом, который ставится в работе, является следующий: как проверить слежку на устройстве таким образом, чтобы полученный результат обладал не только технической достоверностью, но и потенциальной процессуальной значимостью. Ответ на этот вопрос требует последовательного анализа диагностических критериев, методов и их ограничений.

Глава 1. Диагностические критерии компрометации: эмпирические индикаторы и их научная интерпретация

1.1. Поведенческие аномалии устройства как объект наблюдения

Современные исследования фиксируют корреляцию между наличием активного шпионского модуля и изменениями в профиле энергопотребления и сетевой активности. Шпионское ПО, функционирующее в фоновом режиме, потребляет вычислительные ресурсы, что проявляется в ускоренном разряде аккумулятора, нагреве корпуса в состоянии покоя и снижении общей производительности системы. Аномальный рост потребления мобильных данных также является значимым индикатором, поскольку вредоносные модули осуществляют передачу собранной информации на удалённые серверы.

Однако интерпретация указанных признаков требует методологической осторожности. Перечисленные симптомы не являются специфичными: они могут быть следствием устаревшей прошивки, фонового обновления легитимных приложений или аппаратного износа. Как отмечается в руководствах Kaspersky, диагностическая ценность возрастает при одновременном проявлении нескольких признаков, а не при изолированном наличии одного из них. С научной точки зрения это означает, что поведенческие аномалии обладают низкой диагностической специфичностью и не могут служить единственным основанием для выводов о компрометации.

1.2. Индикаторы доступа к сенсорам и разрешениям

Начиная с Android 12, операционная система предоставляет Панель конфиденциальности (Privacy Dashboard), отображающую временную шкалу доступа приложений к камере, микрофону и геолокации. На устройствах Apple индикаторы конфиденциальности (зелёная точка при доступе к камере, оранжевая — к микрофону) позволяют выявить несанкционированную активацию сенсоров. Активация индикатора в момент, когда пользователь не инициировал соответствующее действие, является прямым указанием на постороннюю активность.

Анализ разрешений (Permissions) позволяет выявить несоответствие запрашиваемых приложением прав его заявленной функциональности. Классическим примером является калькулятор, запрашивающий доступ к микрофону, или фонарик, требующий геолокацию. Отдельного внимания заслуживает проверка раздела «Администраторы устройства» (Device Admin Apps): вредоносные программы часто регистрируются в этом качестве для затруднения удаления. Данный метод обладает более высокой специфичностью, чем поведенческие аномалии, однако требует от исследователя понимания архитектуры операционной системы и типовых профилей разрешений легитимных приложений.

1.3. Сетевая и коммуникационная активность

Несанкционированная переадресация вызовов — исторически один из наиболее надёжных индикаторов компрометации. Проверка осуществляется посредством USSD-запроса *#21# (отображение статуса безусловной переадресации); ##002# отменяет все активные переадресации. Если вызовы перенаправляются на номер, который пользователь не настраивал, это является прямым свидетельством вмешательства. Однако данный метод не позволяет установить источник перенаправления: оно может быть результатом действий оператора связи или легитимных настроек, о которых пользователь забыл.

Анализ фонового трафика по приложениям (Настройки → Сеть → Использование данных) позволяет выявить программы, осуществляющие передачу данных в объёмах, не соответствующих их функциональности. Однако данный метод не позволяет установить содержание передаваемых данных, что ограничивает его доказательственную ценность.

Глава 2. Методологические ограничения самостоятельной диагностики

2.1. Проблема динамической загрузки кода

Современные банковские трояны используют техники обфускации и динамической загрузки вредоносного кода после первоначальной установки. Приложение, прошедшее проверку в момент установки, может активировать вредоносную функциональность спустя дни или недели, после получения необходимых разрешений. Следовательно, антивирусное сканирование в момент установки не гарантирует отсутствия компрометации впоследствии. С научной точки зрения это означает, что момент наблюдения является критическим параметром: результаты проверки, полученные в момент t₁, не могут быть экстраполированы на состояние устройства в момент t₂ без дополнительных оснований.

2.2. Ограничения сигнатурного анализа

Встроенные средства защиты (Google Play Protect) и сторонние антивирусные решения ориентированы преимущественно на сигнатурный анализ известных образцов. Специализированные антишпионские приложения декларируют возможность выявления признаков слежки, однако в документации прямо указывается: приложение «не может гарантировать обнаружение всех существующих программ слежки». Кроме того, как отмечается в руководствах по мобильной безопасности, вредоносные приложения способны проникать даже через официальные магазины: в 2025 году программа SparkCat распространялась через App Store и Google Play Store и была загружена сотни тысяч раз.

2.3. Утрата доказательственной базы при преждевременных действиях

С точки зрения процессуальной логики, критически важным является вопрос о том, как проверить слежку без уничтожения следов. Сброс устройства к заводским настройкам, рекомендуемый в ряде руководств в качестве финальной меры , приводит к безвозвратной утере данных, которые могли бы быть использованы для установления механизма компрометации и её связи с финансовыми потерями. Аналогичным образом, удаление подозрительных приложений до проведения исследования лишает возможности восстановить хронологию событий и идентифицировать конкретные скомпрометированные учётные данные.

Глава 3. Специфика платформы iOS: архитектурные ограничения и методы проверки

3.1. Архитектура безопасности iOS и её пределы

Apple создала iOS таким образом, чтобы каждое приложение работало в изолированном «песочном ящике». Приложение не может свободно читать файлы других программ или системные данные. Это кардинально отличает iPhone от Android, где вредоносное ПО иногда проникает через сторонние источники. Поэтому традиционные вирусы, которые заражают файлы и распространяются сами, на iOS практически не существуют.

Однако реальные угрозы 2025–2026 годов — это шпионские программы (stalkerware), фишинговые ссылки, поддельные профили управления или вредные конфигурации, которые пользователь устанавливает сам, часто с помощью социальной инженерии. К примеру, человек получает сообщение «Ваш iPhone заражен, нажмите здесь для проверки» и устанавливает подозрительный профиль. В таких случаях устройство не «болеет» классическим вирусом, но теряет приватность.

3.2. Как проверить айфон на наличие шпионских программ: методологический алгоритм

Проверка начинается с обновления iOS. Перейдите в «Параметры» → «Общие» → «Обновление ПО». Apple выпускает обновления безопасности даже для старых моделей, и часто именно они закрывают уязвимости, которыми пользуются злоумышленники.

Следующий этап — проверка профилей управления и VPN. Перейдите в «Параметры» → «Общие» → «VPN и управление устройством». Если присутствуют профили, которые пользователь не устанавливал (особенно с названием MDM или от неизвестных компаний), их следует удалить. Такие профили могут предоставлять злоумышленникам доступ к данным, сообщениям или камере.

Проверка установленных приложений осуществляется через «Параметры» → «Общие» → «Хранилище iPhone». Следует просмотреть список программ и удалить те, которые не были установлены пользователем. Дополнительно проверяется раздел «Конфиденциальность и безопасность» на предмет недавней активности приложений.

3.3. Инструментальные средства для iOS

Для более глубокой проверки используются специализированные инструменты, такие как iMazing Spyware Analyzer, который применяет индикаторы компрометации, поддерживаемые Amnesty International Security Lab, включая обнаружениеstalkerware и watchware. Однако разработчик прямо предупреждает: анализатор может触发 ложные срабатывания, и обнаружение индикатора компрометации не обязательно означает, что устройство действительно скомпрометировано. Следовательно, результаты инструментальной проверки на iOS требуют интерпретации специалистом и не могут рассматриваться как окончательное доказательство без дополнительного анализа.

Глава 4. Специфика платформы Android: методы проверки и их пределы

4.1. Как проверить телефон на шпионские приложения: пошаговый алгоритм

Для устройств под управлением Android проверка начинается с раздела «Настройки» → «Приложения». Следует обратить внимание на приложения с общими названиями («System Manager», «Device Service», «Phone Health»), которые пользователь не устанавливал. Если приложение не удаляется обычным способом, необходимо проверить раздел «Администраторы устройства» и отозвать права администрирования.

Следующий шаг — проверка разрешений. В разделе «Конфиденциальность» → «Диспетчер разрешений» следует просмотреть, какие приложения имеют доступ к камере, микрофону, SMS и геолокации. Приложения, чьи разрешения не соответствуют их функциональности, подлежат проверке.

Для выявления скрытых процессов рекомендуется загрузить устройство в безопасном режиме. В этом режиме сторонние приложения не запускаются, что позволяет проверить, связано ли странное поведение устройства с вредоносной программой, и удалить подозрительные приложения.

4.2. Как проверить телефон на шпионские приложения: ограничения метода

Перечисленные методы позволяют ответить на вопрос, как проверить телефон на шпионские приложения на уровне скрининга. Однако их результат не является доказательством в процессуальном смысле. Во-первых, отсутствует фиксация хода и результатов в форме, предусмотренной процессуальным законодательством. Во-вторых, поведенческие индикаторы не являются специфичными. В-третьих, современные трояны используют динамическую загрузку кода, что делает результаты проверки зависимыми от момента наблюдения.

Глава 5. Проверка на шпионское ПО: разграничение скрининга и инструментального исследования

5.1. Методологическое разграничение

Самостоятельная проверка, даже проведённая тщательно, по своей природе является скринингом, а не исследованием. Она отвечает на вопрос «есть ли признаки проблемы», но не на вопросы «какие именно данные были скомпрометированы», «когда произошло заражение» и «могло ли конкретное приложение инициировать конкретную финансовую операцию». Для ответа на эти вопросы требуется анализ файловой системы, журналов событий, автозагрузки и скрытых процессов — процедура, выходящая за пределы возможностей пользовательского интерфейса.

Именно на этом уровне становится возможным ответ на вопрос, как проверить слежку с результатом, пригодным для предъявления в качестве доказательства. Методологически корректное исследование предполагает фиксацию исходного состояния устройства, извлечение и анализ артефактов, восстановление хронологии и формулирование выводов в терминах, допускающих проверку и оспаривание.

5.2. Проверка на шпионское ПО как процессуальная категория

Согласно методическим рекомендациям, под программой-шпионом понимается ПО, которое втайне от пользователя собирает, копирует, передаёт или уничтожает конфиденциальную информацию. При этом выявление программ-шпионов должно подтверждаться не только техническими, но и процессуальными актами (протокол осмотра, постановление о назначении экспертизы).

Признаки программ-шпионов, закрепляемые экспертом, включают: отсутствие информированного согласия пользователя; маскировку под системные процессы; наличие скрытых сетевых соединений с C2-серверами; использование техник анти-отладки и обхода файерволлов. Проверка на шпионское ПО, таким образом, представляет собой не просто техническую процедуру, а процессуально регламентированное действие, результат которого должен быть оформлен в соответствии с требованиями, предъявляемыми к доказательствам.

5.3. Практический кейс: финансовый троян после перехода по фишинговой ссылке

В лабораторию обратился гражданин, который получил SMS-сообщение от имени крупного банка о блокировке карты и ссылку для разблокировки. Перейдя по ссылке и введя логин, пароль и код подтверждения, он через два часа обнаружил списание 950 000 рублей со своего счёта. В рамках досудебной экспертизы была проведена проверка телефона на наличие шпионского ПО.

Результаты исследования: анализ истории браузера выявил ссылку на фишинговый сайт, визуально копировавший портал банка; в системном разделе памяти было обнаружено скрытое приложение, установленное в момент перехода по ссылке, не имевшее иконки и скрытое из общего списка; дизассемблирование кода выявило функции перехвата одноразовых паролей, поступающих в SMS от банка, и их ретрансляцию на сервер злоумышленников.

Юридический результат: экспертное заключение было передано в правоохранительные органы для возбуждения уголовного дела и использовано в банке для запуска процедуры страхового возмещения. Данный кейс иллюстрирует принципиальное различие между скринингом (который выявил бы «что-то подозрительное») и инструментальным исследованием (которое установило механизм компрометации и его связь с финансовыми потерями).

Глава 6. Как проверить номер на слежку: коммуникационный аспект

6.1. Переадресация вызовов как индикатор

Вопрос о том, как проверить номер на слежку, в первую очередь связан с анализом настроек переадресации. USSD-запрос *#21# отображает статус безусловной переадресации; *#62# позволяет узнать номер, на который перенаправляются вызовы при недоступности. Если вызовы перенаправляются на номер, который пользователь не настраивал, это является прямым свидетельством вмешательства.

Однако интерпретация требует осторожности. Некоторые операторы законно переадресуют звонки на голосовую почту или сетевые службы. Кроме того, переадресация может быть настроена легитимным приложением, о которой пользователь забыл. Следовательно, обнаружение переадресации является поводом для проверки, а не доказательством компрометации.

6.2. Ограничения метода

Метод USSD-проверки не позволяет установить кто и когда настроил переадресацию. Он также не выявляет перехват SMS (который может осуществляться вредоносным ПО без изменения настроек переадресации). Следовательно, ответ на вопрос, как проверить номер на слежку, не может ограничиваться USSD-запросами. Он требует комплексного анализа устройства.

Глава 7. Как проверить слежку на телефоне и удалить: методологические аспекты

7.1. Последовательность действий

Вопрос о том, как проверить слежку на телефоне и удалить обнаруженное ПО, требует разграничения двух этапов: диагностики и remediation (устранения). С методологической точки зрения принципиально важно, что удаление не должно предшествовать фиксации. Если устройство содержит следы компрометации, которые могут иметь доказательственное значение, удаление приложения до проведения исследования равнозначно уничтожению доказательств.

7.2. Методы удаления и их пределы

Для Android: удаление подозрительных приложений через «Настройки» → «Приложения». Если приложение зарегистрировано как администратор устройства, необходимо сначала отозвать это право в «Настройки» → «Безопасность» → «Приложения администратора устройства». Для удаления скрытых приложений может потребоваться безопасный режим.

Для iOS: удаление неизвестных профилей управления через «Параметры» → «Общие» → «VPN и управление устройством». Удаление приложений, которые пользователь не устанавливал.

Однако удаление не устраняет последствия компрометации: скомпрометированные учётные данные остаются скомпрометированными, даже если вредоносное ПО удалено. Следовательно, ответ на вопрос, как проверить слежку на телефоне и удалить, должен включать смену паролей и, при необходимости, обращение к специалисту для оценки масштаба утечки.

Глава 8. Эмпирические иллюстрации: от технического факта к правовому последствию

Случай 1: хищение с расчётного счёта индивидуального предпринимателя

Списание 340 000 рублей тремя переводами. Банк отказал в возврате, сославшись на подтверждение операций SMS-кодами. Инструментальное исследование выявило троян с разрешениями Accessibility, перехватывавший SMS и эмулировавший нажатия. Развёрнутое заключение использовано в арбитражном суде для опровержения презумпции совершения операций клиентом.

Случай 2: хищение с корпоративного счёта через устройство сотрудника

Утрата 1,2 млн рублей. Главный бухгалтер использовала корпоративный смартфон; за месяц до инцидента установила приложение из стороннего источника. Исследование показало активацию banking overlay в день инцидента. Экспертиза установила, что заражение предшествовало авторизации, а учётные данные были скомпрометированы вредоносным кодом.

Случай 3: кредит, оформленный на владельца устройства

Кредит на 250 000 рублей, оформленный на женщину, получившую смартфон в качестве «выигрыша». Исследование выявило предустановленный троян, активировавшийся при первом подключении. Кредитная заявка подана с использованием фотографии паспорта из галереи и перехваченных кодов.

Случай 4: «родительский контроль» как инструмент хищения

Списание 68 000 рублей с карты, привязанной к устройству, на которое по просьбе бывшего супруга была установлена программа «родительского контроля». Исследование идентифицировало программу как коммерческое шпионское приложение с функциями удалённого доступа.

Случай 5: компрометация через личное устройство сотрудника

Хищение 890 000 рублей с корпоративного счёта. Проверка рабочих станций результата не дала. Установлено, что сотрудник перешёл по ссылке из PDF-вложения с личного телефона; Android RAT получил доступ к SMS, через которые перехвачены коды подтверждения корпоративных платежей.

Глава 9. Выводы и методологические рекомендации

9.1. Общие выводы

Во-первых, индикаторы компрометации, доступные для самостоятельной проверки (аномальное энергопотребление, несоответствие разрешений, индикаторы сенсоров, переадресация вызовов), обладают диагностической ценностью, но не являются специфичными. Их изолированное наличие не доказывает компрометации; их одновременное проявление служит основанием для углублённой проверки.

Во-вторых, методы, ориентированные на ответ на вопрос, как проверить слежку на пользовательском уровне, принципиально ограничены в своей способности установить причинно-следственную связь между наличием вредоносного ПО и конкретными финансовыми потерями. Эта связь устанавливается только посредством инструментального исследования.

В-третьих, преждевременные действия по «очистке» устройства (сброс, удаление приложений) до проведения исследования приводят к утрате данных, которые могут иметь решающее значение для защиты прав владельца в споре с банком или в рамках уголовного дела.

В-четвёртых, выбор уровня документирования (предварительный анализ, краткая справка, развёрнутое заключение, судебная экспертиза) должен определяться стадией разбирательства и характером ожидаемого спора. Документ, достаточный для претензии, может не обладать достаточной силой для суда.

9.2. Алгоритм действий при подозрении на компрометацию

Фиксация исходного состояния устройства. Обращение к специалисту для предварительного анализа с целью установления наличия или отсутствия признаков компрометации. При подтверждении подозрений — переход к краткой справке или развёрнутому заключению в зависимости от планируемого процессуального действия. При наличии судебного или следственного производства — экспертиза в процессуальном порядке.

Промежуточные уровни не являются взаимозаменяемыми: каждый последующий предполагает большую глубину исследования и большую процессуальную значимость.

9.3. Заключительное замечание

Ответ на вопрос, как проверить слежку в контексте финансового инцидента, не сводится к технической процедуре. Он представляет собой последовательность действий, в которой технические методы подчинены процессуальной логике, а результат каждого этапа определяет допустимость и достаточность последующего. Игнорирование этого обстоятельства — как в сторону преждевременных «очисток», так и в сторону переоценки возможностей самостоятельной диагностики — создаёт риск утраты не только денежных средств, но и правовых средств их возврата.

Приглашение к сотрудничеству

Проведение проверки мобильного устройства на наличие шпионского программного обеспечения с результатом, пригодным для использования в качестве доказательства в суде или в рамках досудебного разбирательства, требует применения инструментальных методов цифровой криминалистики и процессуально корректного оформления результатов. Союз «Федерация судебных экспертов» располагает необходимой методологической базой и практическим опытом проведения таких исследований, включая случаи, когда своевременная проверка телефона на наличие шпионского ПО позволяла не только остановить утечку данных, но и восстановить хронологию событий для последующего судебного разбирательства.

Для получения консультации и оформления заявки на проведение исследования вы можете обратиться в Союз «Федерация судебных экспертов» по следующим реквизитам:

Адрес: Москва, 115114, Кожевнический проезд, д. 3 (трёхэтажное жёлтое здание, отдельный вход, 2-й этаж).

Телефоны: +7 (495) 666-5-666 (для звонков из Москвы, с 09:00 до 18:00); +7 (800) 555-0-453 (для звонков из регионов, бесплатно); +7 (995) 100-33-55 (круглосуточная поддержка).

Электронная почта: info@fse.ms.

Стоимость услуг: предварительный анализ — 5 000 рублей; краткая справка по исследованию — 15 000 рублей; развёрнутое заключение — 25 000 рублей; экспертиза по запросу суда или следствия по факту хищения денежных средств — от 50 000 рублей и выше.