Доброго дня, уважаемые руководители служб безопасности, корпоративные юристы, системные администраторы и все, кто столкнулся с необходимостью юридически безупречного документирования фактов негласного наблюдения, незаконного сбора персональных данных и хищения денежных средств с банковских счетов! 👋💻📱

Сегодня мы с вами разбираем одну из самых сложных и чувствительных тем в области цифровой криминалистики  — поиск шпионского ПО.  Это не просто «проверка антивирусом», а полноценное лабораторное исследование, требующее глубоких знаний в области компьютерной криминалистики, реверс-инжиниринга и процессуального права.  🧠🔬

Сразу обозначим нашу позицию:  мы  — команда судебных IT-экспертов, базирующаяся в Москве.  Однако для сложных дел, для анализа стационарных серверов, серверов синхронизации и корпоративной IT-инфраструктуры мы готовы вылетать в любой регион России  — от Калининграда до Камчатки.  Физический доступ к оборудованию  — это краеугольный камень методически верного поиска шпионского ПО, особенно когда речь идет о серверных стойках, RAID-массивах и промышленных контроллерах.  🚁🖥️

Поиск шпионского ПО в корпоративной среде требует комплексного подхода, а поиск шпионского ПО на мобильных устройствах  — особых инструментов и навыков.  Мы покажем, что поиск шпионского ПО  — это не разовая акция, а системный процесс, и что поиск шпионского ПО позволяет не только выявить угрозу, но и собрать доказательства для суда.  Наша лаборатория в Москве, но для анализа стационарных серверов мы готовы вылетать в любой регион России.  🛰️🚀

Раздел 1.  Методологические основы:  таксономия и архитектура шпионского ПО

Шпионское ПО  (spyware, stalkerware, tracking software) представляет собой класс программных продуктов, предназначенных для скрытого сбора, агрегации и передачи информации с зараженного устройства.  В отличие от обычных вирусов, шпионское ПО не разрушает систему, а маскируется под легитимные процессы, чтобы оставаться незамеченным как можно дольше.

Ключевая особенность этого вредоносного ПО  — его способность маскироваться и оставаться незамеченным.  Оно может не иметь значка в списке приложений, работать под правами администратора устройства или встраиваться в состав легального программного обеспечения.  В деловой практике особенно опасны инциденты, когда шпионское ПО внедряется через уязвимые точки периметра сети  — SSL VPN-устройства, заброшенные привилегированные учётные записи и устаревшее программное обеспечение.

Классификация по целевому назначению и функционалу:

• Кейлоггеры (Keyloggers) — записывают нажатия клавиш.  Подразделяются на аппаратные  (внедряются на уровне контроллера клавиатуры) и программные  (внедряются в виде драйверов, хуков в оконную подсистему).
• Трояны удаленного доступа (RAT) — обеспечивают полный контроль над системой.  Часто используют легитимные протоколы  (RDP, VNC) для маскировки.
• Информационные сборщики (Data Stealers) — специализируются на поиске и извлечении конкретных данных:  файлов по расширению, кэшей браузеров, данных из клиентов мессенджеров.
• Сетевые снифферы (Sniffers) — перехватывают сетевые пакеты на зараженном хосте.
• Скриншотеры (Screen Capture) — регулярно или по событию делают снимки экрана.

Классификация по стелс-технологиям и устойчивости:

• User-Mode Rootkits — маскируют процессы, файлы, ключи реестра на уровне приложений.
• Kernel-Mode Rootkits — внедряются в ядро ОС, перехватывая системные вызовы. Обнаружение требует анализа целостности ядра.
• Буткиты (Bootkits) — заражают загрузочные секторы  (MBR, UEFI) и активируются до загрузки ОС.  Являются наиболее сложными для обнаружения стандартными средствами.
• Объекты, не связанные с файлами (Fileless Malware) — исполняются в памяти, используя легитимные процессы и скриптовые движки  (PowerShell, WMI).

Программы государственного уровня  (Pegasus, Graphite) используют уязвимости нулевого дня в iOS, включая атаки с нулевым кликом  (zero-click), которые используют уязвимости в приложениях iMessage, WhatsApp или FaceTime для тихого заражения устройства без необходимости взаимодействия жертвы.  Возможности включают кейлоггинг, доступ к микрофону и камере, GPS-трекинг и захват снимков экрана.  Шпионское ПО очень трудно обнаружить на iPhone, и оно может самоуничтожиться, чтобы стереть улики, если не свяжется с сервером в течение установленного периода времени.

Особую опасность представляют программы, нацеленные на хищение денежных средств.  Как сообщила председатель Банка России Эльвира Набиуллина, мошенники стали использовать вредоносную программу типа SpyNote, с помощью которой они могут получить доступ к телефону человека и опустошить счета.  По данным ЦБ, 40-50% хищений денег со счетов совершается при помощи этой программы.  💰⚠️

Именно поэтому поиск шпионского ПО  — это не антивирусная проверка, а полноценный криминалистический процесс.  Никакой один инструмент не даст 100% гарантии.

Раздел 2.  Методология экспертного анализа:  многоуровневый подход

Методология поиска шпионского ПО базируется на принципе последовательного перехода от анализа внешних проявлений  (аномалий) к исследованию низкоуровневых артефактов.  Поиск шпионского ПО должно быть многоуровневым:  от статического анализа до поведенческого в песочнице и ручного реверс-инжиниринга.

Уровень 1:  Поведенческий и сетевой анализ 🌐

Цель  — выявление аномалий, указывающих на возможное присутствие шпионского ПО.  Методы включают:

• Мониторинг сетевой активности: анализ исходящих соединений с помощью netstat, Wireshark. Поиск beacon-трафика  — периодических обращений к C2-серверу.  Использование репутационных баз IP-адресов и доменов.
• Анализ потребления ресурсов: мониторинг загрузки ЦП, оперативной памяти и дискового ввода-вывода.
• Сигнатурное сканирование: использование антивирусных движков (ClamAV, YARA-правила).  Эффективность ограничена для неизвестных или полиморфных угроз.

Уровень 2:  Статический анализ артефактов 💾

Анализ данных на носителях без их выполнения:

• Анализ автозагрузки: исследование всех точек персистентности — ключей реестра  (Run, RunOnce, службы), папок автозагрузки, планировщика задач  (Scheduled Task), DLL-инжекции.
• Анализ файловой системы: поиск скрытых файлов и каталогов, файлов с двойными расширениями. Проверка цифровых подписей исполняемых файлов.  Сравнение хэш-сумм системных файлов с эталонными.
• Анализ памяти (дамп оперативной памяти): получение дампа с последующим анализом в Volatility Framework позволяет выявить скрытые процессы, внедренные DLL-библиотеки и открытые сетевые сокеты.

Уровень 3:  Динамический анализ в изолированной среде 🏜️

Запуск подозрительных файлов в песочнице  (sandbox), позволяющий увидеть поведение, которое не видно в статике.  Индикаторы заражения в динамике:

• Попытки доступа к системным базам данных (SAM, SYSTEM)
• Вызов SetWindowsHookEx (клавиатурный шпион)
• Чтение буфера обмена (GetClipboardData)
• Отправка данных на неизвестные IP (особенно в нестандартные порты: 5555, 6666, 31337)

Уровень 4:  Ручной реверс-инжиниринг  — для самых сложных случаев 🧬

Когда автоматические методы бессильны  (например, кастомное ПО, написанное под конкретную жертву), применяем reverse engineering.  Инструментарий:  IDA Pro, Ghidra, x64dbg, radare2.  Что ищем в коде:

• Строки с URL/IP (особенно в зашифрованном виде)
• Вызовы InternetOpen, URLDownloadToFile, WinHttpOpen
• Функции для работы с веб-камерой, микрофоном
• Код для обхода UAC
• Механизмы персистенции

Раздел 3.  Кейс № 1:  Финансовый троян и хищение денежных средств со счетов 💰📱

Исходные данные.  В нашу лабораторию обратился гражданин, с чьего банковского счета было списано 950 000 рублей.  Заявитель получил текстовое сообщение от имени крупного банка.  В сообщении содержалась информация о блокировке банковской карты и ссылка для разблокировки.  Заявитель перешел по ссылке.  Открывшийся сайт визуально полностью копировал официальный портал банка.  Заявитель ввел свой логин, пароль и код подтверждения из текстового сообщения.

Суть атаки.  Вредоносное ПО для Android, маскирующееся под системное приложение, перехватывало SMS-сообщения с одноразовыми паролями и подменяло экраны банковских приложений, показывая жертве фальшивые формы.

Этапы поиска шпионского ПО:

1. Устройство помещено в экранирующую камеру для блокировки всех каналов связи.
2. Создана побитовая копия внутреннего накопителя смартфона с использованием аппаратного блокиратора записи.

1. В системном разделе памяти обнаружено приложение без иконки, скрытое из общего списка установленных программ.
2. Анализ исполняемого файла выявил функции перехвата одноразовых паролей.

Результат.  Вредоносный модуль удален.  Составлено заключение, переданное в правоохранительные органы для возбуждения уголовного дела.  Поиск шпионского ПО в подобных случаях позволяет восстановить цепочку заражения и подготовить доказательства для суда.  Мы в Москве, но для анализа стационарных серверов готовы вылетать в любой регион России.

Раздел 4.  Кейс № 2:  Корпоративный шпионаж через модифицированный драйвер 🏢💻

Исходные данные.  Крупный производитель автокомпонентов заподозрил утечку чертежей и коммерческих предложений.  Сотрудники жаловались на «перебои с интернетом», но провайдер не фиксировал сбоев.  Внутренний аудит не выявил вредоносного ПО на рабочих станциях.  Владелец бизнеса заподозрил промышленный шпионаж со стороны бывшего IT-директора.

Суть атаки.  Злоумышленник модифицировал драйвер сетевого адаптера на нескольких ключевых серверах.  При загрузке драйвер инициировал теневой сетевой туннель на уровне ядра ОС, дублируя пакеты с определёнными типами.  Драйвер был подписан украденным сертификатом.

Этапы поиска шпионского ПО:

1. Использован анализатор сетевых пакетов в режиме мониторинга  (промышленная PCAP-запись).
2. Выявлены пакеты на нестандартный порт, направленные на IP-адрес вне бизнес-партнёров.
3. Проведён анализ хеш-сумм сетевых драйверов  — обнаружено несоответствие эталонным версиям.

1. С помощью дампа памяти ядра получен код закладки.
2. Проведено аппаратное тестирование сетевой карты:  закладка прописана не только в драйвере, но и в EEPROM сетевой карты.

Результат.  Обнаружены три сервера с закладкой.  Установлен бывший IT-директор.  Заключение легло в основу уголовного дела о коммерческом шпионаже.  Данный пример показывает, что поиск шпионского ПО не заканчивается на антивирусе и требует уникального оборудования и методик.  Мы в Москве, но для анализа стационарных серверов готовы вылетать в любой регион России.

Раздел 5.  Кейс № 3:  Сталкерское ПО с физическим доступом к устройству 📱👤

Исходные данные.  В лабораторию обратилась гражданка с жалобами на аномальное поведение смартфона:  быстрый разряд аккумулятора, щелчки и эхо во время телефонных разговоров, самопроизвольное включение экрана в ночное время.  Заявительница находилась в процессе расторжения брака и подозревала супруга в установке шпионского ПО.

Суть атаки.  Устройство заражено сталкерским ПО  (stalkerware)  — классом приложений, которые рекламируются как «инструменты родительского контроля», но отличаются от легитимного родительского контроля скрытностью.

Этапы поиска шпионского ПО:

1. Устройство помещено в экранирующую камеру для блокировки всех каналов связи.
2. Создана побитовая копия внутренней памяти.
3. Анализ установленных приложений выявил пакет с названием, визуально неотличимым от системной службы обновлений.  Отличие заключалось в одной букве в имени пакета.

1. Цифровая подпись приложения не соответствовала сертификату разработчика.
2. Приложение запрашивало доступ к микрофону, камере, геолокации, контактам, текстовым сообщениям и возможности записи экрана.

Результат.  Вредоносный пакет удален.  Составлено заключение, использованное в судебном процессе.  Супруг признал факт установки ПО.  Заключение эксперта по итогам поиска шпионского ПО стало основанием для возбуждения уголовного дела по ст.  137, 138, 272, 273 УК РФ.

Раздел 6.  Инструментарий судебного эксперта для поиска шпионского ПО 🛠️

Для достижения достоверных результатов мы используем только лицензионное, сертифицированное и верифицированное программное обеспечение, а также калиброванное оборудование:

Программные средства:

• Для извлечения данных: Cellebrite UFED, Magnet AXIOM, Oxygen Forensic Detective — создание резервных копий, физических дампов iOS/Android.
• Для анализа образов дисков: X-Ways Forensics, EnCase, FTK Imager — поиск скрытых файлов, артефактов реестра.
• Для анализа памяти: Volatility Framework, Rekall — обнаружение бесфайловых шпионов, инжектированных процессов.
• Для статического анализа APK/IPA: jadx, Ghidra, IDA Pro — декомпиляция, анализ кода на предмет шпионских функций.
• Для динамического анализа: Cuckoo Sandbox, ANY.RUN — запуск подозрительных программ в изолированной среде.
• Для сетевого анализа: Wireshark, Zeek, Suricata — анализ дампов трафика на предмет C2-соединений.
• Для сигнатурного поиска: YARA-правила (более 5000 сигнатур spyware), ClamAV, собственные коллекции.

Аппаратные средства:

• Аппаратные блокираторы записи Tableau Forensic Bridge, Logicube Falcon — обеспечивают криминалистическую чистоту копирования.
• Программаторы Medusa Pro, EasyJTAG, Z3X — для снятия физических дампов EMMC/UFS с мобильных устройств.
• SPI-программаторы — для извлечения прошивок EFI при подозрении на буткит.

Раздел 7.  Самостоятельная первичная проверка  (Android и iOS) 📱🔍

Если ситуация не критична, можно начать с этих шагов:

Для Android:

• Проверьте разрешения в Настройки → Приложения → Специальный доступ.
• Установите специализированный сканер (Kaspersky, Protectstar Anti Spy) и проведите полную проверку.
• Переведите телефон в безопасный режим и проверьте список приложений.
• Проверьте папку «Загрузки» на наличие подозрительных файлов.

Для iPhone  (iOS):

• Проверьте библиотеку приложений — листайте до упора вправо до последнего домашнего экрана. Здесь вы увидите все приложения, даже скрытые.
• Проверьте Настройки → Основные → VPN и управление устройством — удалите любые профили, которые вы не узнаете.
• Проверьте Настройки → Основные → Хранилище iPhone на наличие приложений, которых нет на домашних экранах.
• Используйте Mobile Verification Toolkit (MVT) — бесплатный инструмент от Amnesty International, извлекающий данные из резервной копии для поиска индикаторов компрометации.

Важно:  Если ни один из этих шагов не помог, остается крайняя мера  — восстановление заводских настроек.  Однако это может быть недостаточно для удаления государственных шпионских программ типа Pegasus или Graphite.

Раздел 8.  Приглашение на сайт 🔗

Уважаемые коллеги! Мы показали методологию, инструментарий и реальные кейсы из практики.  Если вы подозреваете наличие шпионского ПО на своих устройствах или в корпоративной сети  — мы готовы провести полную диагностику.  Находимся в Москве, но для сложных дел и анализа стационарных серверов готовы вылетать в любой регион России.  🏢🛡️

Подробнее о наших услугах:  https://фсэ.рф

Раздел 9.  Финальный аккорд 🎯

Дорогие друзья! Поиск шпионского ПО  — это не про «вирусы», это про реальных людей, которые охотятся за вашими данными.  Поиск шпионского ПО требует не просто сканирования, а реверс-инжиниринга, анализа дампов памяти и трафика.  Поиск шпионского ПО  — это единственный способ разорвать цепочку утечки, когда антивирусы бессильны.  Поиск шпионского ПО  — это необходимая мера, если вы цените свою информацию.  Поиск шпионского ПО  — это наша специализация.  И мы готовы прийти на помощь в любой точке России.  ✈️🔐

С уважением и готовностью защищать,
Союз «Федерации судебных экспертов» 🛡️💻🔍

Минутка юмора 🙂

Другие шутки