🟩 Поиск программ слежения

Юридически значимая экспертиза для бизнеса и частных лиц

Введение: цифровая угроза как вызов современному бизнесу и приватности

В современном цифровом ландшафте шпионское программное обеспечение (spyware) превратилось из экзотического инструмента спецслужб в массовую угрозу, с которой сталкиваются как обычные пользователи, так и крупные корпорации 📱💻. Ежедневно тысячи россиян становятся жертвами программ-шпионов, которые не только крадут личную переписку и фотографии, но и похищают банковские данные, пароли и средства с банковских карт 💰💳. Согласно исследованиям, более 40% целевых атак на коммерческие организации включают компоненты шпионского характера.

Поиск программ слежения — это не просто техническая задача, а комплексная лабораторно-юридическая процедура, результаты которой могут стать основой для уголовного преследования по статьям 138, 272, 273 УК РФ 📜. В отличие от деструктивного вредоносного ПО, шпионские приложения нацелены на скрытный сбор данных: кейлоггинг, перехват сетевого трафика, доступ к файловой системе, мультимедийным устройствам и геолокации.

Профессиональный поиск программ слежения является единственным способом гарантированно обнаружить скрытое вредоносное ПО, которое не видно стандартными антивирусными средствами.

Наша экспертная организация базируется в Москве. Однако для сложных дел, требующих анализа стационарных серверов (включая C2-панели для сбора данных, серверы синхронизации и MDM-инфраструктуру), мы готовы вылетать в любой регион России — от Калининграда до Владивостока ✈️🇷🇺. Физический доступ к оборудованию является краеугольным камнем методически корректного поиска программ слежения, поскольку удаленный анализ не позволяет гарантировать сохранность цифровых улик и проведение низкоуровневых аппаратных исследований.

Глава 1. Таксономия и классификация современных шпионских угроз

Эффективный поиск программ слежения начинается с систематизации возможных типов угроз. Классификация строится по нескольким ортогональным признакам, что определяет выбор конкретных методик обнаружения и инструментария.

1.1. Классификация по функциональному назначению

Кейлоггеры (Keyloggers): Записывают нажатия клавиш, перехватывая пароли, номера банковских карт, PIN-коды и тексты сообщений. Подразделяются на аппаратные (внедряются на уровне контроллера клавиатуры, требуют физического доступа) и программные (реализуются через драйверы, хуки в оконную подсистему или модификацию библиотек ввода).
Трояны удаленного доступа (RAT — Remote Access Trojan): Обеспечивают полный контроль над системой. Часто используют легитимные протоколы (RDP, VNC) для маскировки, что усложняет поиск программ слежения сетевыми методами. Функционал RAT включает доступ к микрофону и камере, кейлоггинг, GPS-трекинг, захват скриншотов, доступ к журналу вызовов, SMS, контактам и данным зашифрованных приложений.
Информационные сборщики (Data Stealers): Специализируются на извлечении файлов по расширению, кэшей браузеров, данных из клиентов мессенджеров. Могут быть настроены на конкретные типы документов — бухгалтерские базы, проектные файлы, переписки.
Stalkerware (программы-сталкеры): Приложения для слежки за супругами или детьми без их согласия (mSpy, FlexiSPY, Cocospy). Они маскируются под легитимные приложения и используют права Accessibility (специальные возможности) для перехвата любых данных.
Модульные spy-платформы: Agent Tesla, RedLine, SpyNote (Android), Pegasus (iOS). Особую опасность представляют атаки с нулевым кликом (zero-click), использующие уязвимости в iMessage, WhatsApp или FaceTime для заражения без какого-либо взаимодействия жертвы.

1.2. Классификация по стелс-технологиям

User-Mode Rootkits: Маскируют процессы, файлы и ключи реестра на уровне приложений. Обнаружение требует анализа API-вызовов и проверки целостности системных библиотек.
Kernel-Mode Rootkits: Внедряются в ядро ОС, перехватывая системные вызовы. Поиск программ слежения на этом уровне требует анализа целостности ядра и сравнения структур данных с эталонными значениями.
Буткиты (Bootkits): Заражают загрузочные секторы (MBR, UEFI) и активируются до загрузки ОС. Являются наиболее сложными для обнаружения стандартными средствами — для их выявления необходим анализ загрузочной среды с использованием аппаратных программаторов.
Fileless Malware: Исполняются в памяти, используя легитимные процессы и скриптовые движки (PowerShell, WMI). Поиск программ слежения в таких случаях требует анализа оперативной памяти и системных журналов событий.

Понимание классификации угроз — первый шаг к эффективному поиску программ слежения на любом устройстве.

Глава 2. Диагностические индикаторы заражения

Прежде чем приступать к инструментальному поиску программ слежения, важно идентифицировать признаки, указывающие на возможную компрометацию устройства.

2.1. Технические симптомы

Необъяснимое замедление работы устройства и перегрев — шпионское ПО работает в фоновом режиме, активно используя процессор и сетевые интерфейсы.
Аномально высокий расход интернет-трафика — программа передает собранные данные (переписку, записи, геолокацию) на управляющий сервер.
Быстрая разрядка аккумулятора — в режиме простоя или при минимальном использовании устройства аккумулятор разряжается значительно быстрее обычного.
Самопроизвольные перезагрузки и выключения — особенно в ночное время, когда вредоносное ПО обновляет модули.
Появление неизвестных приложений или изменений в настройках — прямое указание на несанкционированную установку ПО.
Подозрительные активности — самостоятельное включение Wi-Fi/геолокации, свечение индикатора камеры или микрофона без вашего ведома.
Странные звуки при звонках — щелчки, эхо или третий тон, что может указывать на параллельное подключение программы-прослушки.

2.2. Сетевые индикаторы

Beacon-трафик — периодические обращения к C2-серверу с постоянным интервалом. Выявляется анализом исходящих соединений.
Соединения на нестандартные порты — шпионское ПО часто использует порты выше 1024 для обхода межсетевых экранов.
DNS-запросы на неизвестные домены — могут указывать на использование генерации доменов для связи с управляющими серверами.

Глава 3. Реальные кейсы из экспертной деятельности

Кейс №1. Кейлоггер в финансовом учреждении (выезд в Краснодар)

Ситуация: В производстве следователя находилось дело по ст. 138 УК РФ. Потерпевший утверждал, что на его ноутбуке установлена программа слежения.

Диагностика: Лабораторный поиск программ слежения выявил приложение, замаскированное под драйвер принтера, которое отправляло скриншоты на сервер в Нидерландах.

Результат: Заключение эксперта легло в основу обвинительного приговора.

Кейс №2. Корпоративный шпионаж через теневые копии (выезд в Самару)

Ситуация: Корпоративный ноутбук сотрудника работал медленно, антивирус ничего не находил.

Диагностика: Поиск программ слежения через анализ теневых копий VSS обнаружил удалённый установщик кейлоггера, который активировался раз в сутки через планировщик задач.

Результат: Угроза нейтрализована, виновное лицо установлено.

Кейс №3. RAT-клиент в процессе обновления Windows (выезд в Уфу)

Ситуация: Сервер бухгалтерии предприятия показывал аномальный трафик.

Диагностика: Поиск программ слежения в дампе RAM выявил RAT-клиент, внедрённый в процесс обновления Windows. Он каждые 15 минут отправлял скриншоты рабочего стола на сервер в Германии.

Результат: Угроза нейтрализована, доступ к серверу заблокирован.

Кейс №4. Кража клиентской базы через DNS-туннелирование (выезд в Челябинск)

Ситуация: В арбитражном споре о краже клиентской базы суд назначил экспертизу.

Диагностика: Поиск программ слежения через анализ DNS-логов выявил регулярные запросы к домену, имитирующему обновление Adobe Flash. Расшифровка трафика показала передачу SQL-дампов 1С.

Результат: Суд удовлетворил иск на основании экспертного заключения.

Кейс №5. Pegasus на iPhone журналиста (выезд в Воронеж)

Ситуация: Журналист заподозрил слежку через iPhone.

Диагностика: Поиск программ слежения через MVT (Mobile Verification Toolkit) показал следы атаки Pegasus: изменённые системные процессы и подозрительные соединения с сервером в ОАЭ.

Результат: Заключение эксперта стало доказательством в суде.

Глава 4. Методология поиска программ слежения

Поиск программ слежения представляет собой многоступенчатый процесс, основанный на принципе последовательного перехода от анализа внешних проявлений к исследованию низкоуровневых артефактов. Методология включает пять ключевых этапов.

4.1. Этап 1: Подготовка и обеспечение неизменности данных

Любой поиск программ слежения начинается не с запуска сканера, а с процессуальной и технической фиксации состояния системы. Золотое правило: никогда не работать с оригинальным носителем.

Не выключаем устройство. Вместо этого:

Отключаем сетевые интерфейсы (физическое отсоединение Ethernet, включение режима «в самолете»)
Делаем дамп оперативной памяти (RAM) с помощью WinPMEM / DumpIt / FTK Imager Live
Фиксируем экран с открытыми процессами и сетевыми подключениями

Создание образа диска:

Используем аппаратные блокираторы записи (write-blocker)
Создаем посекторную копию в формате E01 или RAW с контролем хешей MD5/SHA-256
Для мобильных устройств — использование специализированного программного обеспечения для извлечения данных

Каждый образ снабжается хеш-суммой. Изменение хотя бы одного бита сделает образ недопустимым доказательством в суде.

4.2. Этап 2: Статический анализ артефактов

Статический анализ выполняется на образе диска без его запуска. Это безопасно и позволяет выявить уже известные шпионские приложения.

Инструментарий: X-Ways Forensics, EnCase Forensic, Autopsy, FTK.

Целевые артефакты:

Альтернативные NTFS-потоки (ADS)
Записи автозагрузки (Run, RunOnce, Scheduled Tasks, Services)
Prefetch-файлы и AmCache
Теневые копии (VSS) — там могут сохраниться удалённые шпионы

YARA-сканирование: Используем базы YARA-правил для сигнатурного поиска spyware.

4.3. Этап 3: Динамический анализ в изолированной среде

Если статический анализ не дал результатов, переходим к запуску подозрительных файлов в песочнице (sandbox). Поиск программ слежения динамическим методом позволяет увидеть поведение, которое не видно в статике.

Индикаторы заражения в динамике:

Попытки доступа к SAM, SECURITY (Windows) — признаки попытки извлечения учетных данных
Вызов SetWindowsHookEx — установка клавиатурного хука
Чтение буфера обмена (GetClipboardData)
Отправка данных на неизвестные IP (особенно в нестандартные порты)
Создание скрытых окон

4.4. Этап 4: Анализ оперативной памяти (RAM Forensics)

Современные шпионские программы часто работают бесфайлово — они никогда не записываются на диск.

Получение дампа RAM: WinPMEM / DumpIt / FTK Imager Live; для серверов — LiME (Linux Memory Extractor).

Анализ с помощью Volatility 3:

bash

vol -f memory.dmp windows.malfind # поиск инжектов

vol -f memory.dmp windows.netscan # сетевые соединения из памяти

vol -f memory.dmp windows.cmdline # скрытые процессы

Что ищем:

Инжекты в легитимные процессы (svchost.exe, explorer.exe, winlogon.exe)

Аномальные DLL, загруженные из временных папок

Активные сетевые соединения на нестандартные порты

4.5. Этап 5: Сетевой анализ и выявление C&C

Любая шпионская программа нуждается в управляющем сервере (C&C, C2) и канале эксфильтрации данных.

Источники:

PCAP-логи сетевого оборудования
Логи DNS-сервера
Логи прокси и межсетевых экранов

Индикаторы компрометации (IoC):

Подозрительные домены (DGA — Domain Generation Algorithm)
Нестандартные порты (TCP/1443, 8080, 4444)
Геолокация серверов: часто Нидерланды, Россия, Германия, Сингапур

Инструменты: Wireshark, NetworkMiner, Suricata с правилами ET PRO, JA3 / JA3S — отпечатки TLS-рукопожатий.

Инженерный поиск программ слежения с применением всех уровней анализа гарантирует выявление даже самых сложных и редких видов шпионского ПО.

Глава 5. Мобильные устройства: специфика анализа

Поиск программ слежения на мобильных устройствах представляет собой особую техническую задачу в силу специфики архитектур и ограниченных возможностей для глубинного анализа.

5.1. Android-платформа

Целевые артефакты:

Приложения с правами Accessibility (спецвозможности) — это основной вектор стокерваров
Скрытые DeviceAdmin без иконки
Модифицированные framework-res.apk
Приложения, установленные из сторонних источников (не Google Play)

Инструменты: Дамп через ADB: adb pull /data/data; проверка на несистемные приложения-шпионы (SpyNote, Cerberus).

5.2. iOS-платформа

На iOS поиск программ слежения существенно сложнее. Основные методы:

Анализ резервных копий (iTunes) с использованием MVT (Mobile Verification Toolkit) — бесплатного инструмента с открытым исходным кодом от Amnesty International
Проверка установленных MDM-профилей — частая маскировка шпионов
Индикаторы Pegasus: аномалии в sysdiagnose

Глава 6. Почему стандартные антивирусы не справляются

Многие клиенты обращаются к нам после бесполезных попыток обнаружить угрозу стандартными средствами. Существует несколько причин, почему антивирусы оказываются бессильны:

Законные приложения-шпионы: Программы родительского контроля или корпоративного мониторинга устанавливаются легально, но против вашей воли. Они не считаются вирусами, поэтому антивирус их игнорирует.
Рут- и джейлбрейк-модули: Продвинутые шпионские программы внедряются в ядро системы — антивирус их физически не видит.
Fileless Malware: Некоторые программы пишут себя в оперативную память и не сохраняются на диск. Выключите устройство — улики пропадут.
Инжекты в легитимный софт: Код шпиона вшивается в обновление настоящего приложения. Сам файл подписан нормальной подписью, но выполняет вредоносные действия.
Использование нулевых дней (zero-day): Эксплойты для неизвестных уязвимостей не обнаруживаются ни одним антивирусом. Pegasus использует zero-click атаки через iMessage без какого-либо взаимодействия жертвы.

Глава 7. Судебная значимость и процессуальное оформление

Поиск программ слежения, результаты которого предполагается использовать в суде, должен проводиться с соблюдением строгих процессуальных норм, установленных Федеральным законом № 73-ФЗ «О государственной судебно-экспертной деятельности» и статьями УПК РФ.

7.1. Требования к доказательной базе

Фиксация всех действий эксперта в протоколе
Сохранение хеш-сумм для всех созданных образов
Обеспечение цепи хранения доказательств (Chain of Custody)
Использование только лицензионного или валидированного ПО
Соблюдение требований процессуального законодательства

7.2. Типовые вопросы суда эксперту

Обнаружены ли на представленных носителях программы, предназначенные для негласного получения информации?
Каков механизм их работы (кейлоггинг, скриншоттинг, доступ к микрофону/камере)?
Когда и с какого IP-адреса производилась установка?
Какой объём информации был скомпрометирован и куда она передавалась?

Глава 8. Заключение: системный подход к защите

Поиск программ слежения — это не разовая процедура, а системный процесс, требующий применения всего арсенала методов: от статического сигнатурного анализа до аппаратного исследования прошивок и реверс-инжиниринга. Только многоуровневый подход, сочетающий выездные исследования, лабораторный анализ и процессуальное оформление, гарантирует выявление современных угроз, использующих продвинутые техники маскировки и обхода стандартных средств защиты.

Мы, команда экспертов по компьютерной криминалистике и информационной безопасности, предлагаем полный комплекс услуг по обнаружению и нейтрализации шпионского ПО любой сложности. Мы находимся в Москве и готовы оперативно выехать к вам в офис для анализа вашей IT-инфраструктуры. Для особо сложных дел, связанных с анализом стационарных серверов и аппаратных закладок, мы готовы вылетать в любой регион России — от Калининграда до Камчатки.

Ознакомиться с полным перечнем услуг и заказать исследование вы можете на нашем сайте: https://fedexpertiza.ru 🌐📋