В условиях цифровизации всех сфер жизни и роста числа киберугроз проблема несанкционированного сбора персональных данных и коммерческой тайны приобретает системный характер. Шпионские программы (spyware, stalkerware, tracking software) — это класс вредоносного программного обеспечения, предназначенного для скрытного наблюдения за пользователем, кражи конфиденциальной информации, а также для хищения денежных средств с банковских счетов. Данная статья представляет собой систематизированное методологическое руководство по поиску шпионских программ на компьютерах, мобильных устройствах и серверной инфраструктуре, основанное на многолетней практике судебных IT-экспертов. 🛡️🔍

Раздел 1. Понятие и классификация шпионских программ

Поиск шпионских программ требует четкого понимания их таксономии и механизмов функционирования. С методологической точки зрения, шпионское ПО классифицируется по нескольким критериям: способу распространения, уровню привилегий, функциональному набору и стойкости к обнаружению.

1.1. Классификация по целевому назначению и функционалу

• Кейлоггеры (Keyloggers) — записывают нажатия клавиш, перехватывая логины, пароли, переписки и текстовые вводы. Подразделяются на аппаратные (внедряются на уровне контроллера клавиатуры, требуют физического доступа) и программные (внедряются в виде драйверов, хуков в оконную подсистему или модифицируют библиотеки ввода).
• Трояны удаленного доступа (RAT — Remote Access Trojan) — обеспечивают полный контроль над системой: активацию камеры и микрофона, геолокацию в реальном времени, извлечение файлов, перехват сообщений из шифрованных мессенджеров.
• Информационные сборщики (Data Stealers) — специализируются на поиске и извлечении конкретных данных: файлов по расширению, кэшей браузеров, данных из клиентов мессенджеров (Telegram, WhatsApp, Signal).
• Сетевые снифферы (Sniffers) — перехватывают сетевые пакеты на зараженном хосте, работая в режиме promiscuous mode.
• Скриншотеры (Screen Capture) — регулярно или по событию делают снимки экрана.
• Сталкерское ПО (Stalkerware) — коммерческие пакеты (mSpy, FlexiSPY), изначально разработанные для родительского контроля, но используемые для скрытого слежения. Часто маскируются под системные процессы.

1.2. Классификация по стелс-технологиям и устойчивости

• User-Mode Rootkits — маскируют процессы, файлы, ключи реестра на уровне приложений.
• Kernel-Mode Rootkits — внедряются в ядро ОС, перехватывая системные вызовы. Обнаружение требует анализа целостности ядра.
• Буткиты (Bootkits) — заражают загрузочные секторы (MBR, UEFI) и активируются до загрузки ОС. Являются наиболее сложными для обнаружения стандартными средствами.
• Бесфайловые угрозы (Fileless Malware) — исполняются в памяти, используя легитимные процессы и скриптовые движки (PowerShell, WMI).

Поиск шпионских программ должен учитывать все эти категории, поскольку современные образцы часто комбинируют несколько технологий маскировки одновременно.

Раздел 2. Каналы проникновения шпионского ПО

Понимание векторов атак — фундамент для построения эффективной защиты и корректного планирования мероприятий по поиску шпионских программ. Злоумышленники постоянно совершенствуют методы доставки вредоносного кода.

2.1. Фишинговые электронные письма и вложения

Наиболее распространенный вектор атак в корпоративном секторе. Согласно исследованиям «Лаборатории Касперского», более 40% целевых атак на коммерческие организации включают компоненты шпионского характера. Злоумышленники маскируют вредоносные вложения под счета, договоры, коммерческие предложения.

Пример из реальной практики: APT-группа Tomiris, активная с начала 2025 года, рассылает целевые фишинговые письма с вредоносными архивами, замаскированными под официальные документы. В одном из обнаруженных писем атакующие просят дать отзыв на проекты, якобы направленные на развитие российских регионов. Если запустить файл из архива, происходит заражение компьютера жертвы. Больше половины таргетированных фишинговых писем в этой кампании содержат текст на русском языке, что указывает на нацеленность на русскоязычных пользователей и организации.

2.2. Зараженные веб-сайты и «drive-by download»

Посещение даже легитимного, но скомпрометированного веб-сайта может привести к автоматической загрузке и установке шпионского модуля без ведома пользователя. Злоумышленник внедряет вредоносный код на популярный сайт, который в фоновом режиме перенаправляет пользователя на эксплойт-сервер.

2.3. Физический доступ к устройству

Прямая установка злоумышленником, часто с предварительным получением прав суперпользователя (root) на Android или использованием уязвимостей для джейлбрейка на iOS. Этот метод характерен для случаев бытового или коммерческого шпионажа, а также для атак на высокопоставленных чиновников.

Как сообщает ФСБ России, иностранные спецслужбы активно применяют схемы внедрения шпионского ПО на мобильные устройства российских чиновников. «Очевидно, западные спецслужбы полагали, что им будет проще и дешевле в массовом порядке взламывать сотовые телефоны, чем вербовать дорогостоящих информаторов среди носителей государственной тайны».

2.4. Компрометация цепочки поставок (Supply Chain Attack)

Злоумышленники внедряют вредоносный код в легитимное программное обеспечение (обновления, драйверы, библиотеки) на этапе разработки, сборки или распространения. В результате пользователь самостоятельно устанавливает шпионскую программу вместе с официальным обновлением от доверенного вендора.

2.5. Социальная инженерия и фишинговые ссылки

Злоумышленник связывается с жертвой (по телефону, email или через мессенджер) и убеждает ее установить «программу для обновления» или «защитное ПО». По данным экспертов, для установки шпионских программ часто достаточно физического доступа к телефону или фишинговой ссылки. Система Android находится в зоне максимального риска, поскольку установка из сторонних источников (APK-файлы) и широкие системные разрешения позволяют шпионским приложениям маскироваться под системные утилиты и работать незаметно.

Раздел 3. Признаки присутствия шпионского ПО на устройстве

Поиск шпионских программ должен начинаться с диагностики симптомов заражения. Основные признаки зараженного устройства включают :

• Быстрый расход батареи без активного использования — процессор работает в фоновом режиме, что связано с шифрованием данных, их передачей или записью аудио. 🔋
• Перегрев в режиме ожидания — указывает на фоновую активность шпионского модуля. 🌡️
• Резкий рост мобильного трафика — данные регулярно передаются на удаленные серверы. 📶
• Сбои камеры или микрофона — приложения могут активировать их без ведома пользователя. 📸🎤
• Неизвестные приложения в списке администраторов или с правами на отображение поверх других окон — характерный признак сталкерского ПО. 📱
• Посторонние шумы и эхо при звонках — может свидетельствовать о перехвате разговора. 📞
• Спонтанные перезагрузки устройства — вредоносное ПО может вызывать нестабильность системы. 🔄
• Неожиданное получение кодов подтверждения операций на телефон — злоумышленники могут пытаться получить доступ к банковским счетам. При этом многие вирусы способны скрывать такие уведомления, оставляя владельца устройства в неведении.
• Самопроизвольное открытие приложений без участия пользователя.

Наиболее распространёнными в наши дни являются два типа вредоносного ПО: трояны для удалённого администрирования, предоставляющие злоумышленникам практически полный доступ к устройству, и программы, которые крадут личную информацию. Эти вирусы действуют скрытно и часто удаляют себя после выполнения поставленных задач.

Раздел 4. Методология поиска шпионских программ: многоуровневый подход

Профессиональный поиск шпионских программ отличается от стандартной антивирусной проверки комплексностью и глубиной анализа. Методология базируется на принципе последовательного перехода от анализа внешних проявлений (аномалий) к исследованию низкоуровневых артефактов.

4.1. Этап 1: Подготовка к исследованию — обеспечение неизменности данных

Любой поиск шпионских программ начинается не с запуска сканера, а с процессуальной и технической фиксации состояния системы.

• Отключение сетевых интерфейсов — выдернуть патч-корд, включить режим «в самолете», чтобы предотвратить дистанционную команду на удаление данных или активацию функции самоочистки (remote wipe).
• Дамп оперативной памяти (RAM) — с помощью winpmem (Windows) или avdump (Linux) для последующего анализа в Volatility Framework.
• Фотофиксация экрана — с открытыми процессами, сетевыми подключениями.
• Создание образа диска — с использованием аппаратных блокираторов записи (write-blocker) и создание посекторной копии (dd, FTK Imager) с контролем хешей MD5/SHA-256.
• Для мобильных устройств — использование криминалистических комплексов Cellebrite UFED, Magnet AXIOM, Oxygen Forensic для создания физических дампов.

Золотое правило: никогда не работать с оригинальным носителем. Изменение хотя бы одного бита может сделать образ недопустимым доказательством.

4.2. Этап 2: Статический анализ артефактов

Анализ данных на носителях без их выполнения. Ключевые направления :

• Анализ автозагрузки — исследование всех точек персистентности: ключи реестра (Run, RunOnce, службы), папки автозагрузки, планировщик задач (Scheduled Task), DLL-инжекция через AppInit_DLLs или DLL Search Order Hijacking.
• Анализ файловой системы — поиск скрытых файлов и каталогов, файлов с двойными расширениями. Проверка цифровых подписей исполняемых файлов. Сравнение хэш-сумм системных файлов с эталонными.
• Анализ памяти — использование Volatility Framework для выявления скрытых процессов (pslist, psscan), внедренных в процессы DLL-библиотек (dlllist), открытых сетевых сокетов (netscan), хуков в системные структуры ядра (apihooks, ssdt).
• Поиск индикаторов компрометации (IoC) — выявление известных сигнатур, доменных имен командных серверов (C&C), характерных строк в коде или имен файлов с использованием баз YARA-правил.

4.3. Этап 3: Динамический анализ в изолированной среде

Если статический анализ не дал результатов, переходим к запуску подозрительных файлов в песочнице (sandbox). Поиск шпионских программ динамическим методом позволяет увидеть поведение, которое не видно в статике.

Инструменты: Cuckoo Sandbox, ANY.RUN, Joe Sandbox, Falcon Sandbox.

Индикаторы заражения в динамике :

• Попытки доступа к файлам SAM, SECURITY, SYSTEM
• Вызов SetWindowsHookEx (клавиатурный шпион)
• Чтение буфера обмена (GetClipboardData)
• Отправка данных на неизвестные IP (особенно в нестандартные порты: 5555, 6666, 31337)
• Создание скрытых окон (с параметром WS_EX_TOOLWINDOW)

4.4. Этап 4: Ручной реверс-инжиниринг

Когда автоматические методы бессильны (например, кастомное ПО, написанное под конкретную жертву), применяется reverse engineering. Это требует высокой квалификации и времени, но иногда только так возможен поиск шпионских программ нулевого дня (zero-day).

Инструментарий: Ghidra (от АНБ — бесплатный дизассемблер с декомпиляцией), IDA Pro (промышленный стандарт), radare2, x64dbg.

Раздел 5. Инструментальные средства и технологический стек

Эффективность поиска шпионских программ напрямую зависит от используемого инструментария. Систематизация инструментов по этапам анализа :

Раздел 6. Особенности поиска шпионских программ на мобильных устройствах

Поиск шпионских программ на мобильных устройствах имеет свою специфику, обусловленную архитектурными особенностями платформ Android и iOS.

6.1. Для Android

Система Android находится в зоне максимального риска. Установка из сторонних источников (APK-файлы) и широкие системные разрешения позволяют шпионским приложениям маскироваться под системные утилиты и работать незаметно.

Методология поиска на Android :

• Анализ списка установленных приложений с правами администратора и специальными разрешениями (наложение поверх других окон, доступ к специальным возможностям)
• Проверка загрузчиков (bootloader) на предмет наличия неофициальных прошивок или модифицированных рекавери
• Анализ сетевой активности через Wireshark или tcpdump
• Создание физического дампа через программно-аппаратные комплексы (Cellebrite UFED, Oxygen Forensic) для доступа к системным разделам

6.2. Для iOS

В целом, iPhone не позволяют сторонним приложениям по-настоящему «скрываться» в фоновом режиме, как они могут это делать на Android. Однако существуют исключения — шпионское ПО уровня Pegasus и Graphite, использующее уязвимости нулевого дня (zero-day) и атаки с нулевым кликом (zero-click). Поиск шпионских программ на iPhone требует специализированных инструментов:

• Mobile Verification Toolkit (MVT) — бесплатный инструмент с открытым исходным кодом от Amnesty International. Извлекает различные типы данных из резервной копии iPhone для обнаружения индикаторов компрометации (IOC).
• iMazing — инструмент с графическим интерфейсом, использующий методологию MVT.
• iVerify Threat Hunting — платный инструмент для обнаружения Pegasus.

Методы поиска скрытых приложений на iPhone :

1. Проверка библиотеки приложений — листайте до упора вправо до последнего домашнего экрана. Здесь вы увидите все приложения, установленные на iPhone, даже если они скрыты с обычных экранов.
2. Проверка профилей конфигурации — Настройки → Основные → VPN и управление устройством. Удалите любые профили, которые вы не узнаете.
3. Проверка хранилища — Настройки → Основные → Хранилище iPhone. Просмотрите список приложений на предмет незнакомых.

Раздел 7. Кейсы из практики

Кейс №1: Заражение сервера 1С в строительной компании (выезд в Нижний Новгород)

К нам обратилась строительная компания: с сервера 1С регулярно утекали налоговые декларации до их официальной подачи. Мы вылетели на место, провели поиск шпионских программ на сервере (Windows Server 2019) и 6 бухгалтерских рабочих станциях. Результат: на одном ПК обнаружен загрузчик в автозагрузке userinit.exe, который подтягивал PowerShell-скрипт с IP 185.xxx.xx.12 (Германия). Скрипт каждую ночь архивировал базы 1С и отправлял через WebDAV. Заключение легло в основу уголовного дела о коммерческом шпионаже (ст. 183 УК РФ).

Кейс №2: Скрытая установка через EFI (Москва, медицинский центр)

В частной клинике пропали записи VIP-пациентов. Стандартный поиск шпионских программ на дисках ничего не дал. Мы извлекли прошивку EFI через SPI-программатор — внутри была внедрена DLL, которая при загрузке ОС инжектировалась в процесс lsass.exe и перехватывала учетные записи врачей. Уникальный случай в российской практике.

Кейс №3: Шпион внутри ERP-системы (выезд в Екатеринбург)

Крупный производитель автокомпонентов заподозрил утечку чертежей. Поиск шпионских программ динамическим методом выявил: на сервере SAP каждую ночь запускался Java-апплет, который через JNI вызывал нативную библиотеку, сканирующую сетевые диски. Библиотека называлась jvm_monitor.dll, но ее SHA-256 совпадал с известным бэкдором PlugX. Мы вылетали для изъятия сервера — команда безопасности заказчика боялась, что он «заминирован» логической бомбой.

Кейс №4: Шпионское ПО на Android-смартфоне топ-менеджера

Финансовый директор банка заметил, что его телефон расходует трафик ночью. В ходе анализа установленных приложений и разрешений была обнаружена программа-шпион, которая маскировалась под стандартный калькулятор, но при этом имела разрешения на доступ к камере, микрофону, SMS и файловой системе. Злоумышленник устанавливал ее через скомпрометированное SMS-сообщение с ссылкой на поддельную страницу обновления банковского приложения. Мобильный поиск шпионских программ выявил скрытый модуль, который каждые 5 минут отправлял скриншот экрана на удаленный сервер.

Кейс №5: Атака через поддельное обновление ПО (выезд в Санкт-Петербург)

В сеть бухгалтерской компании-аутсорсера было внедрено шпионское ПО через поддельное обновление «1С: Предприятие». Программа шифровала финансовые отчеты и передавала их на удаленный сервер. В ходе расследования был выявлен факт компрометации сервера обновлений, где злоумышленник подменил установочный файл. Комплексный поиск шпионских программ включал проверку целостности исполняемых файлов через вычисление хешей SHA-256.

Раздел 8. Юридические аспекты и судебная практика

Поиск шпионских программ, проводимый в рамках судебной компьютерно-технической экспертизы (СКТЭ), должен строго соответствовать федеральному законодательству.

Процессуальные основы :

• Статья 57 УПК РФ — права и обязанности эксперта, включая предупреждение об ответственности за дачу заведомо ложного заключения (ст. 307 УК РФ).
• Статья 164.1 УПК РФ — порядок получения образцов для сравнительного исследования.
• ФЗ № 73-ФЗ «О государственной судебно-экспертной деятельности в РФ» — требования к экспертам, методикам, аттестации.

Уголовно-правовая квалификация :

• Статья 138 УК РФ — нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений.
• Статья 138.1 УК РФ — незаконный оборот специальных технических средств, предназначенных для негласного получения информации.
• Статья 272 УК РФ — неправомерный доступ к компьютерной информации.
• Статья 273 УК РФ — создание, использование и распространение вредоносных компьютерных программ.

Важно понимать: даже если технически поиск шпионских программ проведён безупречно, но с нарушением процессуальной формы (например, экспертиза назначена ненадлежащим лицом или эксперт не предупреждён об ответственности), заключение может быть признано недопустимым доказательством.

Раздел 9. Профессиональный поиск шпионских программ: почему важна экспертиза

Самостоятельные попытки диагностики с помощью мобильных антивирусов неэффективны против современных угроз, использующих методы обфускации кода, легитимные сертификаты и эксплуатацию неизвестных уязвимостей (zero-day).

Сравнение профессиональной экспертизы и потребительских антивирусов :

Раздел 10. Приглашение к сотрудничеству

Поиск шпионских программ — это высокоточная услуга, которая требует не только технических знаний, но и понимания законодательной базы и юридической ответственности. Наша экспертная организация находится в Москве. Однако для сложных дел, требующих анализа стационарных серверов (в том числе выступающих в качестве C2-панелей для сбора данных со взломанных устройств), мы готовы вылетать в любой регион России — от Калининграда до Камчатки. Физический доступ к оборудованию — это краеугольный камень методически верного поиска шпионских программ, особенно когда речь идет о серверных стойках, RAID-массивах и промышленных контроллерах.

Подробнее ознакомиться с информацией о наших услугах в этой сфере вы можете на специализированной странице нашего сайта: https://sud-expertiza.ru/uslugi-po-poisku-shpionskih-programm-na-kompyutere/ 💻

Обратившись к нам, вы сможете получить объективное экспертное заключение, которое будет принято судом в качестве допустимого доказательства, а также эффективно защитить свои интересы в арбитражных, гражданских и уголовных процессах. Получите квалифицированную помощь сегодня. 🛡️🔐