Аннотация

Настоящая монография посвящена научно-методическому обоснованию процедуры выявления шпионского программного обеспечения на мобильных устройствах. В отличие от традиционного рассмотрения spyware в контексте межличностного наблюдения, исследование акцентирует внимание на программных средствах, выступающих инструментом хищения денежных средств с банковских счетов, получения кредитов и вывода активов. Систематизируются технические механизмы актуальных образцов финансово ориентированного вредоносного ПО (Manic, Octagon, ZeroDayRAT, CraxsRAT), предлагается четырёхуровневая методика проверки устройства с фиксированной стоимостью услуг, приводится пять эмпирических кейсов. Центральный исследовательский вопрос — как проверить телефон на слежку так, чтобы результат проверки имел не только диагностическое, но и доказательственное значение. Отдельные разделы посвящены процедурам проверки для платформ Android и iOS.

1. Введение

1.1. Постановка научной проблемы

Шпионское программное обеспечение для мобильных устройств традиционно рассматривается в научной литературе преимущественно в контексте межличностного наблюдения — так называемого «spyware супружеского контроля». Однако эмпирические данные последних двух лет свидетельствуют о смене парадигмы: коммерческий рынок spyware переориентировался на финансовые цели. Предметом интереса злоумышленников становится не переписка или геолокация, а доступ к банковским приложениям, криптовалютным кошелькам и системам дистанционного банковского обслуживания (ДБО).

Данная трансформация подтверждается анализом актуальных образцов вредоносного ПО. Android-троян Manic, обнаруженный ThreatFabric в 2026 году, отслеживает 169 пакетов приложений, включая банки, криптокошельки, платёжные системы и государственные сервисы. Платформа Octagon, распространяемая по модели malware-as-a-service, использует специальные возможности Android для overlay-атак на Trust Wallet, Binance, MetaMask и другие финансовые приложения. ZeroDayRAT реализует перехват OTP-кодов и clipboard-инъекции для кражи криптоактивов.

Для предприятий проблема имеет прямое финансовое измерение: скомпрометированное устройство сотрудника, имеющего доступ к корпоративным счетам, становится вектором хищения средств организации.

1.2. Цель и задачи исследования

Целью работы является разработка научно обоснованной методики проверки смартфона на наличие шпионского ПО, ориентированной на выявление программных средств, которые могут выступать инструментом хищения денежных средств. В рамках достижения цели решаются следующие задачи: систематизация технических механизмов финансово ориентированного spyware; обоснование четырёхуровневой методики проверки; эмпирическая иллюстрация методики; формулирование рекомендаций по сохранности цифровых доказательств.

Центральный исследовательский вопрос — как проверить телефон на слежку на устройстве так, чтобы результат проверки имел не только диагностическое, но и доказательственное значение. Вопрос о том, как проверить телефон на слежку, рассматривается применительно к обеим основным платформам — Android и iOS.

1.3. Методологическая основа

Исследование опирается на анализ публичных отчётов исследовательских организаций (iVerify, ThreatFabric, F6, ThaiCERT, Kaspersky, Malwarebytes), технических описаний образцов вредоносного ПО, а также на обобщение практического опыта проверки мобильных устройств. Используются методы системного анализа, классификации и сравнительного исследования.

2. Технические механизмы хищения денежных средств

2.1. Перехват OTP-кодов и обход двухфакторной аутентификации

Большинство банковских операций защищены одноразовыми кодами. Шпионское ПО, получившее разрешение на чтение SMS, пересылает входящие сообщения оператору. Manic читает SMS и уведомления, включая OTP-коды, что позволяет обходить двухфакторную аутентификацию. ZeroDayRAT, по данным ThaiCERT, способен читать входящие SMS для перехвата OTP-кодов, используемых для обхода 2FA, а также отправлять SMS от имени жертвы.

С научной точки зрения важно, что данный механизм не требует эксплуатации уязвимостей операционной системы: используется легитимное разрешение, предоставляемое пользователем при установке приложения.

2.2. Overlay-атаки и прозрачные клавиатуры

Технология overlay позволяет вредоносной программе отобразить поверх легитимного окна банковского приложения поддельную страницу ввода пароля. Octagon использует готовые шаблоны для Trust Wallet, Binance, MEXC, MetaMask, а покупатели могут добавлять собственные.

Manic пошёл ещё дальше. Он не рисует фальшивый экран. Он накладывает прозрачный слой поверх настоящей цифровой клавиатуры, записывает координаты нажатий и передаёт их реальному приложению через Accessibility. Банковское приложение работает нормально, пользователь ничего не замечает, а ПИН-код уже украден.

Ключевой момент: для этого не нужны уязвимости в Android. Нужно разрешение на «специальные возможности», которое пользователь сам выдаёт при установке. Приложение выглядит безобидно, работает в фоне, пока пользователь не откроет банковское приложение.

2.3. NFC-считывание карт и офлайн-передача данных

Связка CraxsRAT и NFCGate позволяет считывать данные банковских карт через NFC-модуль. Пользователя побуждают приложить карту к телефону и ввести ПИН-код — якобы для проверки. Данные передаются злоумышленникам.

Manic реализует ещё более сложный механизм. Если заражённый телефон не может подключиться к интернету, он шифрует украденные данные и ищет другие заражённые устройства поблизости через Wi-Fi Direct или Bluetooth. До четырёх «прыжков» — и данные уходят на сервер через чужой телефон. Таким образом, простое отключение интернета не гарантирует прекращения эксфильтрации данных.

2.4. Подмена буфера обмена

Clipboard-инъекция: вредоносная программа отслеживает буфер обмена и подменяет скопированный адрес кошелька получателя. ZeroDayRAT сканирует MetaMask, Trust Wallet, Binance и Coinbase и осуществляет такую подмену. RatOn реализует аналогичный функционал через сервис ClipboardForegroundService: при изменении содержимого буфера обмена данные отправляются на сервер, а по команде replace_buffer производится подмена — например, номера счёта, на который жертва переводит деньги.

3. Как проверить телефон на слежку: теоретико-методические основания

3.1. Понятие индикатора компрометации

Под индикатором компрометации (Indicator of Compromise, IoC) в настоящей работе понимается артефакт, наличие которого с высокой степенью вероятности свидетельствует о присутствии вредоносного ПО. К таким артефактам относятся: разрешения, предоставленные приложениям; характерные строки в файловой системе; сетевые соединения с известными командными серверами; аномалии в системных журналах.

Вопрос о том, как проверить телефон на слежку на устройстве, методологически сводится к последовательному поиску IoC с фиксацией каждого этапа исследования.

3.2. Проверка разрешений как первичный метод

Первичным методом выявления компрометации является анализ разрешений. Специальные возможности (Accessibility Services) — ключевой вектор, используемый Manic, Octagon и CraxsRAT. Разрешение на чтение SMS — индикатор потенциального перехвата OTP-кодов.

Понимание того, как проверить телефон на слежку на Android, невозможно без анализа истории предоставления разрешений: когда и каким приложением было запрошено разрешение, соответствует ли это заявленной функциональности. Согласно рекомендациям Kaspersky, приложения должны иметь только те разрешения, которые необходимы для их работы; если калькулятор запрашивает доступ к микрофону, это повод для беспокойства.

3.3. Проверка источников установки

APK-файлы, полученные через мессенджеры, — статистически значимый индикатор компрометации. Именно так распространяются CraxsRAT и NFCGate. Octagon распространяется через sideloaded APK с обходом Restricted Settings. Исследователи подчёркивают: установка приложений из сторонних источников является одной из самых типичных причин появления шпионских программ на устройстве.

3.4. Проверка индикаторов доступа к датчикам

На iPhone зелёная точка указывает на активный доступ к камере, оранжевая — к микрофону. На Android 12 и выше Панель конфиденциальности (Настройки → Конфиденциальность → Панель конфиденциальности) отображает временную шкалу доступа приложений к камере, микрофону и геолокации. Если индикатор появляется, когда пользователь не запускал соответствующее приложение, это может свидетельствовать о несанкционированном доступе.

3.5. Проверка переадресации вызовов

Набор кода ##002# позволяет отменить любую активную переадресацию вызовов. Это универсальный код, работающий в большинстве сетей мира. Код *#21# позволяет проверить состояние безусловной переадресации. Неожиданная переадресация на незнакомый номер может указывать на компрометацию.

3.6. Проверка на iOS: специфика

На iPhone вредоносное ПО обычно не является классическим «вирусом» в силу архитектуры песочницы. Реальные угрозы — шпионские программы, устанавливаемые через конфигурационные профили или джейлбрейк. Проверка профилей управления: Настройки → Основные → VPN и управление устройством. Незнакомые профили, особенно с обозначением MDM, могут предоставлять доступ к данным.

Для проверки того, как проверить айфон на слежку, необходимо также обращать внимание на аномалии расхода батареи и трафика: вредоносное ПО, работающее в фоне, может вызывать повышенный расход.

3.7. Проверка на Android: специфика

Android более уязвим для установки ПО из сторонних источников. Проверка приложений с доступом к специальным возможностям, SMS, а также зарегистрированных как администраторы устройства, — необходимый элемент сбора доказательств. Manic умеет скрывать иконку из лаунчера и показывать чёрный экран или фальшивое обновление системы, пока работает в фоне.

Понимание того, как проверить андроид на слежку, требует проверки следующих артефактов: WardAccessibilityService, OctagonBridge, WARD_GATE_ANSWER для Octagon ; соединения по TCP-порту 4444 ; фиктивный аккаунт OctagonPanel в AccountManager.

4. Методика проверки: четыре уровня исследования

4.1. Уровень 1. Предварительный анализ — 5 000 рублей

Цель: быстрая оценка наличия явных признаков компрометации.

Содержание: визуальный осмотр; проверка разрешений; проверка профилей администрирования; анализ источников установки.

Результат: устное заключение о наличии/отсутствии очевидных индикаторов риска.

Ограничение: не выявляет вредоносное ПО, маскирующееся под системные службы, и не обнаруживает следы удалённых программ. Octagon умеет работать так, что Google Play Защита сообщает «вредоносных приложений не обнаружено».

Этот уровень отвечает на вопрос, как проверить телефон на слежку быстро и без глубокого погружения. Но если деньги уже пропали — этого недостаточно.

4.2. Уровень 2. Краткая справка — 15 000 рублей

Цель: документально оформленный результат для предъявления в банк или для внутреннего расследования.

Содержание: процедуры уровня 1; анализ сетевых соединений; поиск характерных артефактов; проверка запущенных процессов.

Результат: справка на 1–3 страницах.

Применение: приложение к претензии в банк или к акту внутреннего расследования.

4.3. Уровень 3. Развёрнутое заключение — 25 000 рублей

Цель: полноценное техническое заключение для досудебного урегулирования.

Содержание: процедуры уровней 1 и 2; создание образа памяти; анализ системных журналов; восстановление истории разрешений; сверка с базами индикаторов компрометации по Manic, Octagon, ZeroDayRAT, CraxsRAT.

Результат: заключение на 5–15 страниц с подписью специалиста.

Применение: доказательство в досудебном споре, основание для страховой выплаты.

4.4. Уровень 4. Экспертиза по запросу суда или следствия — от 50 000 рублей

Цель: судебная экспертиза по факту хищения денежных средств.

Содержание: полный образ памяти с восстановлением удалённых данных; хронология событий; анализ финансовых артефактов; заключение по вопросам суда или следствия.

Стоимость: от 50 000 рублей, определяется сложностью дела, количеством вопросов и срочностью.

5. Эмпирические кейсы

Кейс 1. Хищение 87 000 рублей через Octagon

Фабула. Гражданин Н. обнаружил списание 87 000 рублей через мобильное приложение банка в 03:17. Банк отказал, сославшись на корректный OTP-код.

Исследование (уровень 3). За 11 дней до инцидента установлено приложение «Обновление системы безопасности». Запросило Accessibility и SMS. Обнаружены артефакты WardAccessibilityService и OctagonBridge, соединения по порту 4444, overlay-шаблоны для банковского приложения.

Результат. Заключение представлено в банк; решение пересмотрено, средства возвращены. Материалы переданы в правоохранительные органы.

Научный вывод. Ответ на вопрос, как проверить телефон на слежку в подобной ситуации, — техническая экспертиза с фиксацией артефактов. Без неё клиент остаётся в процессуально невыгодном положении.

Кейс 2. Попытка получения кредита после компрометации через ZeroDayRAT

Фабула. Гражданка К. обнаружила в кредитной истории заявку на 300 000 рублей, которую не подавала. Банк заблокировал выдачу.

Исследование (уровень 2). Приложение «Фоторедактор» с доступом к SMS и уведомлениям. Сетевые соединения с инфраструктурой ZeroDayRAT. Следы пересылки SMS от банка на неизвестный номер.

Результат. Кредитная заявка аннулирована, кредитная история скорректирована. Устройство очищено.

Научный вывод. Шпионское ПО позволяет не только красть существующие средства, но и создавать новые долговые обязательства на имя жертвы.

Кейс 3. Хищение 420 000 рублей у предприятия

Фабула. ООО «А.», малое предприятие. Бухгалтер с доступом к ДБО. Списано 420 000 рублей тремя транзакциями. Банк отказал.

Исследование (уровень 3). На смартфоне бухгалтера (Android 14) за три недели до инцидента установлен файл «Акт сверки.pdf.apk» через WhatsApp. Артефакты Octagon. Соединения по порту 4444. Журнал уведомлений показал перехват OTP. Overlay-шаблоны включали интерфейс ДБО организации.

Результат. Банк возместил 70% ущерба; страховая покрыла остаток по полису киберстрахования. Устройство заменено.

Научный вывод. Проверка личных телефонов сотрудников с доступом к финансам — элемент управления рисками предприятия, а не избыточная мера. Вопрос проверить телефон на прослушку и слежку для предприятия звучит как «финансовый контроль», а не «любопытство».

Кейс 4. Кража криптоактивов через clipboard-инъекцию

Фабула. Гражданин М. переводил 0,45 ETH на биржевой адрес. Визуально адрес совпадал (первые и последние символы), но средства ушли на чужой адрес.

Исследование (уровень 3). Компонент мониторинга буфера обмена. В логах — записи подмены clipboard при копировании Ethereum-адресов. Артефакты ZeroDayRAT. Приложение-носитель «Менеджер файлов» установлено из Telegram.

Результат. Заключение зафиксировало механизм; средства не возвращены (блокчейн необратим), документ использован для обращения в полицию и информирования биржи.

Научный вывод. Визуальная проверка адреса неэффективна. Понимание того, как проверить телефон на наличие шпионских программ, включает анализ компонентов, работающих с буфером обмена.

Кейс 5. Кража данных карты через CraxsRAT/NFCGate

Фабула. Гражданка С. обнаружила списание 95 000 рублей с карты, которую не теряла. За два дня до этого — звонок «из банка» с предложением «проверить карту на безопасность». Установила приложение, приложила карту, ввела ПИН-код.

Исследование (уровень 3). Восстановлены следы CraxsRAT и модифицированного NFCGate. Журналы NFC-активности показали считывание данных карты с передачей на внешний сервер. Приложение мимикрировало под системное.

Результат. Банк признал операцию мошеннической, средства возвращены. Материалы переданы в полицию.

Научный вывод. Вопрос о том, как проверить телефон на слежку андроид бесплатно, в данном случае трансформируется в вопрос о проверке NFC-активности и следов удалённых приложений. Бесплатные методы ограничены, но первичная диагностика возможна.

6. Самостоятельная проверка: методические указания

Понимание того, как проверить телефон на слежку самостоятельно, полезно, но не заменяет профессиональную диагностику.

Шаг 1. Настройки → Специальные возможности. Проверьте несистемные приложения с доступом к управлению устройством.

Шаг 2. Настройки → Приложения → Специальный доступ → SMS. Проверьте, кто читает ваши сообщения.

Шаг 3. Вспомните, устанавливали ли вы APK из мессенджеров.

Шаг 4. Наберите ##002# для отмены переадресации; *#21# для проверки.

Шаг 5. Проверьте профили администрирования. На Android: Настройки → Безопасность → Администрирование устройства. На iPhone: Настройки → Основные → VPN и управление устройством.

Шаг 6. Проверьте индикаторы доступа к камере и микрофону. На iPhone зелёная/оранжевая точка; на Android 12+ Панель конфиденциальности.

Шаг 7. Проверьте расход батареи и трафика. Внезапный рост расхода данных или перегрев в режиме ожидания — классические признаки фоновой активности spyware.

Методическое указание: при обнаружении признаков компрометации не удаляйте приложения и не сбрасывайте устройство до проведения исследования — это может уничтожить доказательственную базу. Если вы размышляете, как проверить есть ли слежка на телефоне и стоит ли удалять подозрительное приложение, помните: удаление вредоносного ПО лишает вас возможности доказать факт его присутствия.

7. Рекомендации для предприятий

1. Включить проверку устройств с доступом к финансовым системам в регламент кибергигиены. Для сотрудников с правом подписи или доступом к ДБО — не реже одного раза в квартал.
2. Обучать сотрудников признакам компрометации. Основной вектор — социальная инженерия: фишинговые ссылки, поддельные APK в мессенджерах.
3. Обеспечить процедуру реагирования: изоляция устройства, отзыв доступов, фиксация инцидента.
4. Рассмотреть киберстрахование: документально подтверждённый факт целевой атаки может служить основанием для выплаты.

8. Заключение

Шпионское ПО на телефоне — это не только бытовое наблюдение. Это инструмент хищения денежных средств. Manic отслеживает 169 банковских и криптовалютных приложений и умеет передавать данные через соседние заражённые телефоны, даже если вы отключили интернет. Octagon продаётся за 1400 долларов в месяц и использует специальные возможности Android для overlay-атак. CraxsRAT и NFCGate считывают карты через NFC. ZeroDayRAT перехватывает OTP-коды и подменяет адреса криптокошельков.

Вопрос о том, как проверить телефон на слежку, имеет научно обоснованный ответ: последовательная проверка разрешений, источников установки, сетевой активности и артефактов вредоносного ПО. Для физических лиц достаточной может оказаться краткая справка; для предприятий и судебных споров необходима экспертиза.

Стоимость услуг:

• 5 000 рублей — предварительный анализ.
• 15 000 рублей — краткая справка по исследованию.
• 25 000 рублей — развёрнутое заключение.
• От 50 000 рублей — экспертиза по запросу суда или следствия.

Дальнейшие исследования могут быть направлены на разработку автоматизированных средств обнаружения артефактов конкретных семейств шпионского ПО, а также на изучение эффективности организационных мер противодействия в корпоративной среде.

Услуги оказываются в соответствии с описанной градацией. Стоимость экспертизы по запросу суда или следствия определяется сложностью дела, количеством поставленных вопросов, необходимостью восстановления удалённых данных и срочностью.