Аннотация

В статье рассматривается проблема использования шпионского программного обеспечения на мобильных устройствах не столько как инструмента бытового наблюдения, сколько как средства целенаправленной финансовой кражи. На основе анализа актуальных образцов вредоносного ПО (Octagon, ZeroDayRAT, CraxsRAT/NFCGate) описываются механизмы перехвата учетных данных банковских приложений, одноразовых кодов и данных банковских карт. Предлагается практическая методика проверки смартфона, адресованная как физическим лицам, так и предприятиям. Приводятся уровни исследования и соответствующая стоимость услуг.

1. Введение: смещение угрозы от «слежки» к «хищению»

Традиционное восприятие шпионского ПО на смартфоне связано с бытовыми сценариями: контроль супруга за супругой, родительский надзор, ревность. Однако современный рынок коммерческого шпионского ПО эволюционировал в сторону финансово ориентированных инструментов. Злоумышленников интересует не переписка сама по себе, а доступ к банковским приложениям, криптокошелькам и системам дистанционного банковского обслуживания.

По данным исследователей iVerify, платформа ZeroDayRAT, распространяемая через Telegram, позиционируется продавцами как «полный мобильный компромиссный toolkit» и включает специализированные модули для кражи средств с криптовалютных кошельков и банковских счетов. Аналогичным образом троян Octagon, обнаруженный в июне 2026 года, использует штатные службы специальных возможностей Android для подмены интерфейса банковских приложений и перехвата кодов подтверждения .

Для предприятий проблема усугубляется тем, что скомпрометированное устройство сотрудника может стать точкой входа для хищения корпоративных средств, компрометации учетных данных и дальнейшего проникновения в инфраструктуру .

Настоящая статья описывает технические механизмы, которые делают возможной кражу денег через шпионское ПО, и предлагает практическую процедуру проверки смартфона с дифференциацией по глубине исследования и стоимости.

2. Как шпионское ПО приводит к краже денег: технические механизмы

2.1. Перехват одноразовых кодов и обход двухфакторной аутентификации

Большинство современных банковских операций защищены одноразовыми кодами, поступающими по SMS или через push-уведомления. Шпионское ПО, получившее разрешение на чтение SMS (часто запрашиваемое под предлогом «подтверждения аккаунта»), пересылает входящие сообщения оператору. ZeroDayRAT, в частности, способен перехватывать OTP-коды и даже отправлять SMS от имени жертвы. Троян Octagon в одном из изученных вариантов запрашивал разрешения на чтение, получение и отправку SMS, после чего перенаправлял входящие сообщения злоумышленникам .

Результат: злоумышленник инициирует перевод средств, перехватывает код подтверждения и завершает операцию без участия владельца устройства.

2.2. Подмена интерфейса банковских приложений (overlay-атаки)

Технология overlay (наложение) позволяет вредоносной программе отобразить поверх настоящего окна банковского приложения поддельную страницу ввода пароля. Пользователь вводит реквизиты, которые немедленно попадают к злоумышленнику. Octagon использует именно этот механизм: поверх легитимного окна выводится фальшивая страница с требованием ввести пароль или исходную фразу криптокошелька. ZeroDayRAT применяет аналогичный подход для кражи учетных данных из банковских приложений, включая Google Pay, PhonePe, Apple Pay и PayPal .

2.3. Кража данных банковских карт через NFC

Связка CraxsRAT и NFCGate, зафиксированная в России в 2025 году, представляет собой качественно иной уровень угрозы. CraxsRAT обеспечивает удаленный доступ к устройству и устанавливает NFCGate в фоновом режиме. Пользователя побуждают приложить банковскую карту к телефону и ввести ПИН-код — якобы «для проверки» или «активации». Считанные данные карты передаются злоумышленникам, которые используют их для снятия денег. По оценкам, ущерб от атак с использованием NFCGate только за январь–февраль 2025 года составил почти 200 миллионов рублей .

2.4. Подмена адресов криптовалютных кошельков

Для владельцев криптоактивов критическую опасность представляет clipboard-инъекция: вредоносная программа отслеживает буфер обмена и подменяет скопированный адрес кошелька получателя на адрес, контролируемый злоумышленником. ZeroDayRAT включает модуль, который сканирует MetaMask, Trust Wallet, Binance и Coinbase, регистрирует балансы и осуществляет подмену адресов. Octagon содержит готовые шаблоны для Trust Wallet, Binance и MEXC .

2.5. Использование легитимных функций ОС как прикрытие

Ключевая особенность современного шпионского ПО — отказ от эксплуатации уязвимостей в пользу легитимных механизмов Android. Octagon, например, строится на службах специальных возможностей (Accessibility Services), которые пользователь сам разрешает при установке. Это позволяет вредоносу оставаться незамеченным для Google Play Защиты: антивирус не видит сигнатур, поскольку программа использует штатные API .

3. Кому и зачем нужна проверка смартфона

3.1. Физические лица

Сценарий А: подозрение на компрометацию после финансового инцидента. Человек обнаруживает списание средств, оформление кредита или перевод, которого он не совершал. Проверка устройства позволяет установить, было ли хищение результатом работы вредоносного ПО, и зафиксировать цифровые следы для обращения в банк или правоохранительные органы.

Сценарий Б: профилактическая проверка при повышенном риске. Пользователи, регулярно совершающие операции через мобильный банк, хранящие криптоактивы или получающие крупные суммы, заинтересованы в периодическом контроле устройства.

Сценарий В: подозрение на бытовую слежку с финансовым потенциалом. Даже если мотив установки ПО изначально был нефинансовым (ревность, контроль), наличие удаленного доступа к устройству создает возможность для последующей кражи. Проверка в этом случае предотвращает эскалацию.

3.2. Предприятия

Для организаций проверка смартфонов сотрудников (особенно имеющих доступ к корпоративным счетам, системам дистанционного банковского обслуживания или криптокошелькам компании) является элементом управления киберрисками. Скомпрометированное устройство руководителя или бухгалтера — прямой путь к хищению средств предприятия. Исследователи прямо указывают: «Для предприятий скомпрометированное устройство сотрудника является вектором кражи учетных данных, захвата аккаунтов и эксфильтрации данных» .

4. Методика проверки: четыре уровня исследования

Предлагаемая система дифференцирована по глубине анализа и целям заказчика.

Уровень 1. Предварительный анализ — 5 000 рублей

Цель: быстрая оценка наличия явных признаков компрометации без глубокого технического исследования.

Что делается:

• Визуальный осмотр устройства и проверка списка установленных приложений на предмет подозрительных наименований, недавно установленных программ неизвестного происхождения.
• Проверка разрешений: какие приложения имеют доступ к специальным возможностям (Accessibility), чтению SMS, уведомлениям, буферу обмена, геолокации в фоновом режиме.
• Проверка наличия профилей администрирования (MDM), неизвестных сертификатов, признаков рут-доступа или джейлбрейка.
• Анализ журнала установки приложений: источники происхождения (Google Play, APK из мессенджеров, сторонние магазины).

Результат: устное заключение или краткая запись о наличии/отсутствии очевидных индикаторов риска. Клиент получает рекомендацию: достаточно ли принятых мер или требуется углубленное исследование.

Ограничение: предварительный анализ не выявляет вредоносное ПО, маскирующееся под системные службы, и не обнаруживает следы уже удаленных программ.

Уровень 2. Краткая справка по исследованию — 15 000 рублей

Цель: документально оформленный результат проверки, пригодный для предъявления в банк (для оспаривания операции) или для внутреннего расследования на предприятии.

Что делается:

• Все процедуры уровня 1.
• Анализ сетевых подключений: выявление соединений с известными командными серверами (C&C), подозрительных портов (например, TCP 4444, характерный для Octagon ), аномальной сетевой активности в фоновом режиме.
• Проверка запущенных процессов и служб, включая скрытые и замаскированные под системные.
• Поиск характерных строк и артефактов в файловой системе (например, WardAccessibilityService, OctagonBridge для Octagon ).
• Анализ недавно удаленных приложений (по возможности).

Результат: краткая справка на 1–3 страницах с описанием выявленных индикаторов (или их отсутствия), указанием степени уверенности и рекомендациями.

Применение: справка может быть приложена к заявлению в банк о спорной операции или к внутреннему акту служебного расследования.

Уровень 3. Развернутое заключение — 25 000 рублей

Цель: полноценное техническое заключение, пригодное для досудебного урегулирования, страхового разбирательства или подготовки к судебному процессу.

Что делается:

• Все процедуры уровней 1 и 2.
• Создание образа (дампа) памяти устройства или его логических разделов для последующего анализа без риска изменения данных.
• Анализ системных журналов (logcat, событий безопасности) на предмет аномалий: несанкционированные установки, повышения привилегий, подозрительные вызовы API.
• Углубленный анализ разрешений и их истории: когда и каким приложением было запрошено разрешение на специальные возможности, SMS, уведомления.
• Проверка на наличие «спящих» вредоносных компонентов, не проявляющих активности на момент осмотра.
• Анализ артефактов, характерных для конкретных семейств шпионского ПО (Octagon, ZeroDayRAT, CraxsRAT и др.) с использованием актуальных баз индикаторов компрометации.

Результат: развернутое заключение на 5–15 страницах с описанием методики, выявленных артефактов, их интерпретации и выводов. Документ содержит подпись специалиста и может быть использован как доказательство в гражданском процессе или как основание для внутренних организационных решений.

Уровень 4. Экспертиза по запросу суда или следствия — от 50 000 рублей

Цель: судебная экспертиза, отвечающая процессуальным требованиям, назначаемая в рамках уголовного или гражданского дела по факту хищения денежных средств.

Что делается:

• Все процедуры уровня 3 с соблюдением требований к судебной экспертизе (фиксация хода исследования, обеспечение целостности доказательств, документирование каждого этапа).
• Анализ полного образа памяти с восстановлением удаленных данных, включая следы удаленных вредоносных приложений, журналы подключений, историю буфера обмена.
• Установление хронологии событий: когда было установлено ПО, какие действия совершались, была ли передача данных за пределы устройства.
• Анализ финансовых артефактов: следы работы с банковскими приложениями, криптокошельками, попытки перехвата OTP.
• Подготовка заключения в форме, соответствующей требованиям процессуального законодательства, с ответами на вопросы, поставленные судом или следствием.
• При необходимости — участие эксперта в судебном заседании.

Стоимость: от 50 000 рублей, определяется сложностью дела, количеством поставленных вопросов, необходимостью восстановления удаленных данных и срочностью. Рыночные ориентиры для экспертиз такого уровня в Москве составляют 30 000–100 000 рублей в зависимости от глубины .

5. Что проверять в первую очередь: практический чек-лист для самостоятельного осмотра

До обращения к специалисту владелец устройства может самостоятельно оценить несколько индикаторов риска. Эти признаки не являются доказательством компрометации, но служат основанием для углубленной проверки.

1. Приложения с доступом к специальным возможностям. Зайдите в настройки → Специальные возможности. Любое приложение, не являющееся системным и не относящееся к известным программам экранного доступа (TalkBack, Voice Access), должно вызывать вопросы. Именно через Accessibility работают Octagon и многие другие трояны.
2. Приложения с доступом к SMS. Проверьте, какие программы имеют разрешение на чтение SMS. Мессенджеры и банковские приложения не должны запрашивать это разрешение без явной необходимости.
3. Источники установки. Просмотрите список недавно установленных приложений. Если среди них есть APK-файлы, полученные через WhatsApp или Telegram (например, «Фото.apk», «Видео.apk», «Обновление.apk»), — это серьезный повод для беспокойства. Именно так распространяются CraxsRAT и NFCGate .
4. Профили администрирования. В настройках → Безопасность → Администрирование устройства не должно быть неизвестных профилей.
5. Аномалии расхода батареи и трафика. Вредоносное ПО, работающее в фоне (сбор данных, передача на сервер), может вызывать повышенный расход. Проверьте статистику по приложениям.

6. Предприятиям: организационные аспекты

Для организаций проверка смартфонов не должна ограничиваться разовыми акциями. Рекомендуется:

• Включить проверку устройств, имеющих доступ к финансовым системам, в регламент кибергигиены. Периодичность определяется уровнем риска: для сотрудников с правом подписи платежных документов или доступом к ДБО — не реже одного раза в квартал.
• Обучать сотрудников признакам компрометации. Основной вектор распространения — социальная инженерия: фишинговые ссылки, поддельные APK в мессенджерах, просьбы «установить обновление» .
• Обеспечить процедуру реагирования. При выявлении компрометации устройство должно быть немедленно изолировано, а доступы — отозваны. Проверка уровня 3 или 4 позволяет задокументировать инцидент для страховой компании и правоохранительных органов.

7. Заключение

Шпионское ПО на смартфоне перестало быть инструментом бытового любопытства. Современные коммерческие платформы — Octagon, ZeroDayRAT, связка CraxsRAT/NFCGate — представляют собой готовые средства для хищения денежных средств, и их стоимость на подпольном рынке (от 1400 долларов в месяц для Octagon ) окупается за счет одной успешной атаки на банковский счет.

Проверка устройства должна быть соразмерна риску. Предварительный анализ за 5 000 рублей дает быструю оценку. Краткая справка (15 000 рублей) позволяет документально зафиксировать результат для банка или работодателя. Развернутое заключение (25 000 рублей) служит доказательством в досудебном разбирательстве. Экспертиза по запросу суда (от 50 000 рублей) обеспечивает процессуальную силу документа при расследовании факта хищения.

Для предприятий своевременная проверка устройств, имеющих доступ к финансам, является не избыточной мерой, а элементом базовой финансовой безопасности. Ущерб от одной скомпрометированной учетной записи ДБО многократно превышает стоимость любого из описанных уровней исследования.

Услуги по проверке смартфонов на наличие шпионского ПО и подготовке заключений оказываются в соответствии с описанной градацией. Предварительный анализ — 5 000 рублей. Краткая справка по исследованию — 15 000 рублей. Развернутое заключение — 25 000 рублей. Экспертиза по запросу суда или следствия по факту хищения денежных средств — от 50 000 рублей.