Настоящая монография посвящена научному анализу проблемы обнаружения шпионского программного обеспечения на мобильных устройствах под управлением Android в контексте хищения денежных средств с расчётных счетов, несанкционированного оформления кредитов и вывода средств из банков. Работа адресована физическим лицам и предприятиям, однако её методологическая основа лежит в плоскости цифровой криминалистики и процессуального права. Научная новизна исследования состоит в разграничении уровней диагностики (пользовательский, инструментальный, экспертный) и обосновании тезиса о принципиальной недостаточности публичных индикаторов компрометации для категорических выводов. В работе последовательно рассматриваются вопросы: как проверить андроид на слежку, как проверить телефон на шпионские программы, как проверить телефон на слежку андроид, в каких случаях необходимо проверить андроид на прослушку и слежку и когда следует проверить телефон на прослушку и слежку андроид с привлечением эксперта. Приводятся пять кейсов, иллюстрирующих правоприменительную и экспертную практику. Обосновывается положение о том, что результаты самостоятельной проверки не обладают доказательственной силой в процессуальном смысле, а экспертное заключение, оформленное с соблюдением требований к цепочке хранения и методологии, является единственным инструментом установления причинно-следственной связи между компрометацией устройства и финансовыми потерями.

Ключевые слова: шпионское ПО, банковский троян, Android, мобильная криминалистика, индикаторы компрометации, судебная экспертиза, как проверить слежку.

Введение

Постановка научной проблемы

Смартфон под управлением Android в современной цифровой экономике выполняет функции, имеющие прямое юридическое и финансовое значение: он выступает средством подтверждения банковских операций (одноразовые коды), хранилищем аутентификационных данных и инструментом доступа к финансовым сервисам. Компрометация устройства шпионским программным обеспечением создаёт условия для хищения денежных средств, квалифицируемого в зависимости от механизма деяния по ст. 158, 159 или 159.6 УК РФ.

Однако установление факта компрометации и, что принципиально важно, причинно-следственной связи между активностью вредоносного ПО и конкретными финансовыми операциями требует специальных познаний. Научная проблема состоит в том, что публичные индикаторы компрометации, доступные через открытые инструменты, недостаточны для определения того, что устройство «чисто». Разработчики Mobile Verification Toolkit прямо указывают: опора только на публичные индикаторы может пропустить свежие следы и создать ложное чувство безопасности; надёжная цифровая криминалистика требует доступа к непубличным индикаторам, исследовательским данным и threat intelligence.

Отдельного внимания заслуживает платформенная специфика. Android, в силу большей открытости архитектуры и распространённости sideload-установки, является основной мишенью банковских троянов и RAT. Согласно экспертным оценкам, Android-устройства чаще становятся целью stalkerware, чем iOS, хотя обе платформы не являются полностью иммунными.

Предмет, цели и задачи

Предмет исследования составляют методы обнаружения шпионского ПО на устройствах Android, границы их применимости и процессуальные требования к экспертному заключению.

Цель — обосновать уровневую модель диагностики компрометации Android-устройства и определить условия, при которых результаты проверки приобретают доказательственную силу.

Задачи:

• Систематизировать функциональные характеристики шпионского ПО, конвертируемые в финансовый ущерб.
• Описать пользовательский уровень диагностики и его ограничения (как проверить телефон на слежку андроид).
• Проанализировать инструментальный уровень (как проверить андроид на слежку, как проверить телефон на шпионские программы) и его недостаточность для процессуальных целей.
• Обосновать необходимость экспертного уровня (проверить андроид на прослушку и слежку).
• Проанализировать пять кейсов из экспертной и правоприменительной практики.
• Сформулировать выводы о доказательственном значении различных форматов проверки.

Глава 1. Функциональная карта угрозы: конвертация функций слежки в финансовый ущерб

1.1. Классы вредоносного ПО для Android и их финансовый потенциал

В научной литературе и экспертной практике разграничиваются следующие категории вредоносного ПО, нацеленного на Android:

Stalkerware — ПО для скрытого наблюдения (геолокация, переписка, камера/микрофон). Исторически ассоциируется с семейным контролем. Однако, как отмечают исследователи, stalkerware требует физического доступа к разблокированному устройству для установки, что ограничивает его применение в массовых финансовых преступлениях, но не исключает использования в целевых атаках.

Banking trojan — ПО, нацеленное на кражу платёжных данных и подтверждающих кодов. Характерные функции: overlay (подмена окон ввода), перехват SMS, кейлоггинг.

RAT (Remote Access Trojan) — ПО удалённого администрирования, обеспечивающее управление устройством в реальном времени, включая инициацию финансовых операций.

С точки зрения финансового ущерба указанные категории образуют континуум: функции, изначально разработанные для наблюдения (перехват SMS, доступ к уведомлениям, Accessibility Service), напрямую конвертируются в механизмы хищения. Современные семейства демонстрируют конвергенцию: Crocodilus, обнаруженный в 2025 году, использует Accessibility Service для мониторинга событий, сбора данных, отображаемых на экране (включая ключи криптокошельков), кейлоггинга, захвата SMS и управления вызовами — всё это в сочетании с функциями финансового хищения. Hirudo заменяет легитимные банковские приложения модифицированными копиями, используя движок хукинга на основе YAHFA и Dobby для обхода проверок подписи, скрытия активных Accessibility-сервисов и ретрансляции запросов Play Integrity через инфраструктуру оператора.

1.2. Ключевые функциональные векторы

Crocodilus демонстрирует технику, значимую для методологии обнаружения: он отображает чёрный экран поверх интерфейса и отключает звук устройства, скрывая вредоносные действия от пользователя. Это означает, что визуальные индикаторы компрометации могут отсутствовать даже в момент активной вредоносной деятельности.

1.3. Векторы инфицирования

Научный анализ эмпирических данных позволяет выделить доминирующие векторы: социальная инженерия под видом банка; фишинговые ссылки в мессенджерах; вредоносная реклама и дропперы; sideload APK из ненадёжных источников. Hirudo распространяется через приложения, выглядящие функциональными — магазины, взрослое видео, короткие драмы (Shopora, 1V1 X, ZoyaTV, KoiShort) — которые используют поддельные запросы на обновление для установки вредоносной полезной нагрузки и запроса разрешений, в частности Accessibility. Отдельно выделяется физический доступ, характерный для stalkerware.

Глава 2. Пользовательский уровень диагностики: как проверить телефон на слежку андроид

2.1. Методологические основания

Пользовательский уровень диагностики направлен на выявление косвенных индикаторов компрометации без применения специализированного инструментария. Его научная ценность состоит в том, что он формирует первичную гипотезу о наличии угрозы и служит фильтром для принятия решения о необходимости более глубокого исследования.

2.2. Индикаторы компрометации, доступные пользователю

Систематизация экспертных данных позволяет выделить следующие группы признаков.

Аномалии энергопотребления и производительности. Быстрая разрядка аккумулятора без видимых причин, перегрев корпуса при отсутствии ресурсоёмких задач, замедление работы, самопроизвольные перезагрузки — неспецифичные, но значимые в совокупности симптомы.

Сетевая активность. Повышенный расход мобильного трафика без объяснимого пользовательского поведения может свидетельствовать о передаче собранных данных на командные серверы.

Системные артефакты. Наличие незнакомых приложений, в том числе маскирующихся под системные. Kaspersky прямо предупреждает: следите за приложениями с типичными системными именами — «System Manager», «Phone Health», «Device Service». Приложения, запрашивающие разрешения, не соответствующие заявленной функциональности (калькулятор с доступом к микрофону, фонарик с доступом к SMS).

Индикаторы доступа к датчикам. Панель конфиденциальности (Android 12+) фиксирует обращения приложений к камере, микрофону и геолокации. Активность в отсутствие пользовательского запуска соответствующего приложения является значимым индикатором.

Переадресация вызовов. Набор ##002# позволяет отменить активную переадресацию; неожиданная переадресация на незнакомый номер может указывать на компрометацию.

2.3. Алгоритм первичной проверки

Отвечая на вопрос, как проверить телефон на слежку андроид, научно обоснованная последовательность включает:

• Фиксация исходного состояния (дата, модель, версия ОС, IMEI, скриншоты).
• Проверка полного списка приложений, включая системные (Настройки → Приложения → Показать системные).
• Проверка Accessibility Service: наличие приложений с этим разрешением, не являющихся легитимными ассистивными инструментами, — красный флаг.
• Проверка администраторов устройства (Настройки → Безопасность → Администраторы устройства).
• Проверка доступа к уведомлениям.
• Проверка пользовательских сертификатов и VPN-профилей.
• Проверка переадресации вызовов.

2.4. Принципиальные ограничения пользовательского уровня

Пользовательский уровень диагностики не позволяет достоверно установить отсутствие компрометации. Отсутствие видимых индикаторов не означает «чисто». Более того, самостоятельные действия (удаление приложений, сброс настроек) могут уничтожить следы, необходимые для установления причинно-следственной связи.

Отдельного внимания заслуживает новая функция Android — Intrusion Logging, входящая в Advanced Protection Mode. Она фиксирует разблокировку телефона, установку и удаление приложений, подключения к сайтам и серверам, использование Android Debug Bridge, а также попытки удалить сами журналы. Однако функция имеет существенные ограничения: она должна быть включена вручную до инцидента и не может использоваться для ретроспективного обнаружения вторжений; доступна только на Android 16+ и требует привязки к Google-аккаунту. Это подтверждает общий научный вывод: пользовательский уровень отвечает на вопрос «как проверить телефон на слежку андроид» лишь в смысле формирования гипотезы, но не в смысле получения доказательственного результата.

Глава 3. Инструментальный уровень: как проверить андроид на слежку и как проверить телефон на шпионские программы

3.1. Антивирусное сканирование и его границы

Использование антивирусных сканеров (Kaspersky Mobile Security, Malwarebytes и др.) позволяет выявить известные образцы вредоносного ПО по сигнатурам. Однако совместное исследование EFF и AV-Comparatives показало, что обнаружение stalkerware антивирусными продуктами остаётся неоднородным: в тесте продукты заблокировали лишь часть установок stalkerware, причём установка часто включала отключение Google Play Protect — антивируса, установленного на многих Android-устройствах по умолчанию. Только один из протестированных продуктов (Malwarebytes) достиг 100% обнаружения Android-stalkerware в тесте.

Научный вывод: антивирусное сканирование является необходимым, но недостаточным элементом инструментального уровня. Оно не гарантирует обнаружения кастомных, обфусцированных или глубоко замаскированных образцов.

3.2. Специализированные инструменты: MVT и AndroidQF

Mobile Verification Toolkit (MVT) — набор утилит для автоматизации сбора форензических следов на Android и iOS, разработанный Amnesty International Security Lab. MVT поддерживает использование публичных индикаторов компрометации для сканирования устройств на предмет следов известных шпионских кампаний.

Однако разработчики прямо указывают: MVT предназначен для технологов и следователей, требует понимания цифровой криминалистики и использования командной строки; инструмент не предназначен для самостоятельной оценки конечными пользователями. Публичные индикаторы недостаточны для определения того, что устройство «чисто».

3.3. Инструментальный уровень в контексте процессуального доказывания

Принципиальное ограничение инструментального уровня состоит в том, что его результаты не оформляются в соответствии с процессуальными требованиями. Антивирусный сканер или MVT не фиксируют цепочку хранения, не обеспечивают неизменность исходных данных посредством хэширования и не содержат сведений о квалификации оператора.

Для суда, следствия или арбитража необходимы юридически значимые доказательства, полученные с соблюдением процессуальных норм. Таким образом, отвечая на вопрос, как проверить андроид на слежку или как проверить телефон на шпионские программы инструментальными средствами, следует признать: инструментальная проверка выявляет потенциальные угрозы, но не создаёт доказательственной базы.

Глава 4. Экспертный уровень: когда необходимо проверить андроид на прослушку и слежку

4.1. Показания к назначению экспертного исследования

Проверить андроид на прослушку и слежку с привлечением эксперта необходимо в следующих ситуациях:

• установлены необъяснимые списания или оформлены кредитные продукты без согласия лица;
• планируется обращение в банк с требованием о возврате средств;
• планируется обращение в правоохранительные органы;
• предстоит судебное разбирательство;
• устройство использовалось для доступа к корпоративным финансам.

В указанных случаях самостоятельные действия недопустимы, поскольку могут привести к утрате доказательств.

4.2. Методология экспертного исследования

Профессиональное исследование включает следующие этапы:

• Физическая изоляция устройства (Faraday bag) для предотвращения удалённой очистки.
• Создание посекторной копии с хэш-суммами (SHA-256).
• Документирование цепочки хранения.
• Статический анализ: инвентаризация пакетов, анализ разрешений, декомпиляция APK, поиск сигнатур.
• Динамический анализ в изолированной среде.
• Сетевой анализ: выявление соединений с C2-серверами.
• Корреляция с финансовыми событиями: сопоставление временных меток активности ПО с временем операций.

4.3. Специфическая проблема: скрытие индикаторов

Hirudo демонстрирует технику, значимую для экспертной методологии: модифицированные банковские приложения содержат движок хукинга, который скрывает включённые Accessibility-сервисы и отключает защиту от скриншотов. Это означает, что стандартные проверки, основанные на видимости разрешений, могут не выявить компрометацию. Экспертное исследование должно включать анализ целостности установленных банковских приложений (проверка подписи, сравнение хэшей с эталонными версиями).

4.4. Требования к экспертному заключению

Заключение должно содержать: сведения о квалификации эксперта; описание методики и инструментов; хэш-суммы исследованных образов; описание цепочки хранения; категорические выводы по каждому вопросу. Нарушение этих требований влечёт недопустимость доказательства (ст. 75 УПК РФ).

4.5. Резюме: как проверить телефон на прослушку и слежку андроид

Если принято решение проверить телефон на прослушку и слежку андроид с привлечением специалиста, научно обоснованный порядок действий следующий:

• Не сбрасывать устройство и не удалять приложения.
• Изолировать устройство от сети (авиарежим).
• Передать устройство эксперту (или обеспечить выезд эксперта).
• Определить цель исследования и перечень вопросов.
• Получить заключение в формате, соответствующем стадии правового конфликта.

Глава 5. Форматы экспертных услуг и их доказательственное значение: научная систематизация

5.1. Уровневая модель

5.2. Научное обоснование градации

Градация форматов отражает различия в процессуальном статусе результатов. Предварительный анализ и краткая справка не соответствуют требованиям ст. 204 УПК РФ к заключению эксперта. Развёрнутое заключение оформляется как заключение специалиста (ст. 80 УПК РФ), но суд вправе назначить судебную экспертизу для проверки выводов. Судебная экспертиза — единственный формат, который может быть положен в основу приговора или решения при соблюдении всех процессуальных требований.

Глава 6. Эмпирические кейсы

Кейс 1. Crocodilus: скрытие действий за чёрным экраном

Сценарий. Android-банковский троян Crocodilus, обнаруженный в марте 2025 года, нацелен на пользователей по всему миру, включая Турцию, Польшу, Аргентину, Бразилию, Испанию, США, Индонезию и Индию. Кампании локализованы: в Турции и Испании троян имитировал крупные банки, в Польше распространялся через рекламу Facebook с обещанием бонусных баллов.

Crocodilus запрашивает Accessibility Service, после чего подключается к C2-серверу, непрерывно мониторит события Accessibility и захватывает элементы экрана, включая ключи криптокошельков. Он способен запрашивать права администратора устройства, включать переадресацию вызовов, выполнять клики и свайпы, делать скриншоты Google Authenticator для кражи кодов аутентификации. Для сокрытия действий он отображает чёрный экран поверх интерфейса и отключает звук устройства.

Научный комментарий. Кейс иллюстрирует, что визуальные индикаторы компрометации могут отсутствовать даже в момент активной вредоносной деятельности. Пользовательский уровень диагностики, основанный на наблюдении за экраном, в таких случаях принципиально недостаточен.

Кейс 2. Hirudo: подмена банковских приложений и обход проверок

Сценарий. Hirudo — Android-банковский троян с функциями RAT, распространяемый через приложения Shopora, 1V1 X, ZoyaTV, KoiShort, которые используют поддельные запросы на обновление. После получения Accessibility-разрешений Hirudo идентифицирует целевые банковские приложения, инициирует их удаление и загружает модифицированные копии. Заменённые приложения сохраняют идентичность пакета и версию оригинала, но используют другой ключ подписи.

Встроенный движок хукинга на основе YAHFA и Dobby работает внутри процесса банковского приложения: подменяет информацию о подписи, скрывает включённые Accessibility-сервисы, отключает защиту от скриншотов, манипулирует аттестацией ключей и ретранслирует запросы Play Integrity через инфраструктуру оператора. Это позволяет наблюдать защищённые банковские экраны и красть пароли, платёжные PIN-коды, SMS и информацию о разблокировке устройства.

Научный комментарий. Кейс демонстрирует, что стандартная проверка списка приложений с Accessibility-разрешениями может не выявить компрометацию: Hirudo скрывает активные сервисы. Экспертное исследование должно включать проверку целостности банковских приложений (сравнение подписей, хэшей с эталонными версиями).

Кейс 3. Оформление кредита через ссылку в Telegram

Сценарий. Жительница Бурятии получила в Telegram файл от знакомой. После открытия утратила доступ к телефону. Мошенники оформили кредит на 508 тыс. рублей. Суд признал кредитный договор недействительным.

Научный комментарий. Кейс актуализирует проблему доверия к источнику: компрометация аккаунта знакомого используется для распространения вредоносного файла. Для экспертизы значимо установление цепочки: источник файла → механизм установки → активность ПО → финансовые операции.

Кейс 4. Приложение-справочник и хищение 90 тыс. рублей

Сценарий. Мужчина скачал приложение — справочник глубины прудов. На следующий день телефон перестал реагировать на касания. Аферисты оформили кредиты почти на 90 тыс. рублей.

Научный комментарий. Кейс иллюстрирует ограниченность сигнатурного подхода: приложение с безобидной заявленной функциональностью может содержать вредоносную нагрузку. Потеря контроля над устройством (экран не реагирует) — значимый индикатор активного RAT.

Кейс 5. Stalkerware и утечка данных клиентов

Сценарий. В 2026 году опубликованы данные более 500 тысяч клиентов приложений для слежки: адреса электронной почты, информация о платежах, типы карт и последние четыре цифры номеров.

Научный комментарий. Кейс демонстрирует, что stalkerware не является «безопасным» инструментом даже для его пользователей. Данные, собранные такими приложениями, утекают, создавая вторичные риски для финансовой безопасности. Научный вывод: разграничение «слежки» и «хищения» в контексте stalkerware носит условный характер.

Заключение

Основные научные выводы

• Шпионское ПО на Android в финансовом контексте представляет собой инструмент доступа, а не «слежки». Функции перехвата SMS, Accessibility Service и RAT конвертируются в возможность хищения, оформления кредита и вывода средств. Crocodilus и Hirudo демонстрируют конвергенцию банковского трояна и шпионского ПО, а также техники сокрытия индикаторов компрометации.
• Пользовательский уровень диагностики (как проверить телефон на слежку андроид) позволяет сформировать гипотезу, но не даёт доказательственного результата. Самостоятельные действия сопряжены с риском уничтожения следов. Даже новая функция Intrusion Logging, будучи включённой после инцидента, не позволяет ретроспективно обнаружить вторжение.
• Инструментальный уровень (как проверить андроид на слежку, как проверить телефон на шпионские программы) выявляет известные угрозы, но недостаточен для процессуальных целей. Исследование EFF и AV-Comparatives показало неоднородность обнаружения stalkerware антивирусами ; разработчики MVT прямо указывают, что публичные индикаторы недостаточны для вывода о «чистоте» устройства.
• Экспертный уровень (проверить андроид на прослушку и слежку, проверить телефон на прослушку и слежку андроид) является необходимым условием установления причинно-следственной связи между компрометацией устройства и финансовыми потерями. Только заключение, оформленное с соблюдением требований к цепочке хранения и методологии, обладает доказательственной силой.
• Формат результата должен соответствовать стадии правового конфликта: предварительный анализ (5 000 ₽) — для решения о дальнейших шагах; краткая справка (15 000 ₽) — для банка; развёрнутое заключение (25 000 ₽) — для суда и следствия; экспертиза (от 50 000 ₽) — процессуальное доказательство.

Научное послесловие

Вопрос «как проверить слежку» не имеет универсального ответа, поскольку ответ зависит от цели проверки и требуемого уровня доказательности. Научно обоснованная позиция состоит в следующем: пользовательская и инструментальная проверки служат целям профилактики и формирования гипотезы; экспертная проверка служит целям доказывания. Смешение этих уровней приводит либо к ложному чувству безопасности, либо к утрате доказательств.