В условиях стремительной цифровизации всех сфер жизнедеятельности мобильные устройства стали не просто средствами коммуникации, а полноценными хранилищами конфиденциальной информации, включая банковские реквизиты, биометрические данные, коммерческие тайны и личную переписку. Согласно статистическим данным, в России используется количество смартфонов, эквивалентное двум единицам на каждого жителя страны, включая младенцев. Это колоссальное поле для злоупотреблений делает проблему несанкционированного программного наблюдения одной из наиболее актуальных в сфере информационной безопасности и уголовного судопроизводства.

В 2026 году Федеральная служба безопасности Российской Федерации вскрыла и задокументировала широкомасштабную акцию иностранных спецслужб по внедрению шпионского программного обеспечения на мобильные средства коммуникации высокопоставленных российских государственных служащих. Вредоносное ПО использовалось для прослушивания переговоров, негласного акустического и видеоконтроля обстановки вблизи электронных устройств. Как предупредили в ведомстве, обсуждение конфиденциальной информации по мобильным устройствам недопустимо, поскольку «содержание ваших переговоров может стать известно третьим лицам и повлечь наступление необратимых последствий». Следственным управлением ФСБ возбуждены уголовные дела по статьям 272 и 273 Уголовного кодекса Российской Федерации. Данные события подтверждают, что угроза цифрового шпионажа имеет государственный масштаб и требует профессионального подхода к услугам по проверке смартфонов и планшетов на наличие шпионского ПО.

Настоящая статья представляет собой систематизированное изложение методологических основ лабораторной диагностики мобильных устройств на предмет обнаружения шпионского программного обеспечения. Материал разработан для судебных экспертов, специалистов по информационной безопасности, следователей, адвокатов и корпоративных юристов, и базируется на принципах цифровой криминалистики (digital forensics), процессуального права и инструментального анализа.

1. Таксономия угроз: классификация шпионского ПО для мобильных устройств

Формирование эффективной методологии услуг по проверке смартфонов и планшетов на наличие шпионского ПО невозможно без систематизации объектов исследования. Анализ актуальных киберугроз позволяет выделить следующие категории шпионского программного обеспечения на мобильных платформах, классифицируемые по механизму внедрения, функциональным возможностям и стелс-технологиям.

1.1. Классификация по механизму внедрения и персистенции 🎯

Атаки через цепочку поставок (Supply-Chain Attacks). Данный вектор представляет собой наиболее коварный способ проникновения, поскольку вредоносный код внедряется на этапе производства или распространения устройства. В начале 2026 года «Лаборатория Касперского» обнаружила вредоносное ПО под названием Keenadu на совершенно новых Android-устройствах. По данным на начало февраля 2026 года, решения компании выявили более 13 000 смартфонов и планшетов, подвергшихся атакам Keenadu, из которых на Россию пришлось почти 9000. Зловред попадал на устройства на одном из этапов цепочки поставок при программировании, при этом производители не знали о компрометации, поскольку зловред имитировал легитимные компоненты системы. Keenadu способен заражать любые установленные приложения, устанавливать программы из APK-файлов с предоставлением им всех доступных разрешений, что позволяет скомпрометировать конфиденциальные данные, включая фото, видео, личные сообщения, банковские реквизиты и отметки геолокации.

Физический доступ к устройству с использованием ADB. Ряд шпионских имплантов, таких как ResidentBat, используемый белорусским КГБ против журналистов и гражданского общества, требует физического доступа к целевому устройству и установки APK-файла через Android Debug Bridge (ADB) с ручным предоставлением разрешений. Анализ кода показывает, что разработка данного инструмента велась как минимум с 2021 года. После установки операторы получают доступ к журналам звонков, записям микрофона, SMS, трафику зашифрованных мессенджеров, скриншотам экрана и локально хранимым файлам. C2-серверы ResidentBat используют самоподписанные сертификаты с CN=server и работают в узком диапазоне портов 7000-7257, а инфраструктура сосредоточена в Европе и России.

Фишинг и социальная инженерия через поддельные магазины приложений. Исследовательская группа ESET выявила две активные кампании по распространению Android-шпионов, маскирующихся под популярные мессенджеры Signal и ToTok. Первая кампания (Android/Spy.ProSpy) распространяется под видом обновлений или дополнительных модулей, таких как «Signal Encryption Plugin» или «ToTok Pro». Вторая группа (Android/Spy.ToSpy) копирует интерфейс магазина Samsung Galaxy Store. После установки приложения меняют значок и отображаются в списке программ как Play Services, а при нажатии на иконку пользователь перенаправляется к настоящему сервису Google, что серьёзно затрудняет выявление заражения.

1.2. Классификация по функциональным возможностям 🛠️

• Кейлоггеры (Keyloggers). Модули, перехватывающие ввод с экранной клавиатуры, включая логины, пароли, сообщения и поисковые запросы. На Android реализуются через сервисы специальных возможностей (Accessibility Service).
• Трояны удалённого доступа (RAT). Наиболее опасный класс, обеспечивающий полный удалённый контроль: активация камеры и микрофона, геолокация в реальном времени, извлечение файлов из облачных хранилищ, перехват сообщений из шифрованных мессенджеров.
• Информационные сборщики (Data Harvesters). Специализируются на агрегации конкретных данных: история звонков и контакты, галерея изображений, история браузера, метаданные файлов.
• Сталкерское ПО (Stalkerware). Коммерческие пакеты, изначально разработанные для родительского контроля, но используемые для скрытого слежения без согласия наблюдаемого лица.

2. Методология лабораторного анализа: многоуровневая модель исследования

Профессиональные услуги по проверке смартфонов и планшетов на наличие шпионского ПО реализуются через строго регламентированную многофазную процедуру, соответствующую стандартам цифровой криминалистики и процессуальным требованиям.

2.1. Фаза 1: Приём устройства и криминалистическая изоляция ⛓️💾

Первостепенной задачей является сохранение целостности цифровых доказательств. В соответствии с принципами цифровой криминалистики, основными требованиями при работе с электронными устройствами являются: учёт повышенной информационной ёмкости объектов, блокирование внешнего дистанционного либо контактного вмешательства в процесс осмотра, а также повышенная внимательность и достаточная техническая компетентность специалиста.

• Физическая изоляция: Устройство помещается в экранирующую камеру Фарадея для блокировки всех радиоканалов (GSM/4G/5G, Wi-Fi, Bluetooth, NFC). Это предотвращает дистанционную команду на удаление данных (remote wipe), активируемую многими продвинутыми RAT-клиентами.
• Создание физического дампа: С использованием аппаратно-программных комплексов (Cellebrite UFED, Magnet AXIOM, Oxygen Forensic Detective) создаётся побитовая (bit-for-bit) копия всей доступной памяти: пользовательские данные, системные разделы, кэш, журналы событий, файлы подкачки.
• Хэширование: Каждый образ снабжается хэш-суммами (MD5, SHA-256) для обеспечения неизменности и доказательной ценности. Оригинал устройства не модифицируется.

2.2. Фаза 2: Статический анализ артефактов файловой системы 🔍📁

Работа ведётся с полученным образом памяти, что исключает изменение оригинальных данных. Исследование мобильных артефактов включает извлечение данных из логов приложений, системных журналов, SQLite-баз, XML и plist-файлов, с последующей нормализацией: удалением дублирования, унификацией временных меток и фильтрацией шумов.

Ключевые инженерные направления:

• Восстановление файловой структуры: Построение полного дерева файлов, включая данные системных и пользовательских приложений (/data/data/ на Android, Containers на iOS).
• Сигнатурный поиск: Использование баз YARA-правил (более 5000 сигнатур spyware) и специализированных антивирусных движков.
• Анализ манифеста приложения: Проверка разрешений, запрашиваемых приложениями (доступ к SMS, контактам, геолокации, камере, микрофону, возможности отображения окон поверх других приложений).
• Проверка цифровых подписей: Сравнение цифровых подписей исполняемых файлов с эталонными базами производителей.
• Анализ точек персистентности: Исследование механизмов автозагрузки (Broadcast Receivers, Services, JobScheduler).

2.3. Фаза 3: Поведенческий анализ и форензика оперативной памяти 🧠🔬

Данный этап применяется для обнаружения наиболее сложных угроз, включая бесфайловое ПО, руткиты и кастомное шпионское ПО.

• Анализ дампов оперативной памяти: С использованием специализированных фреймворков выполняется парсинг структур данных в дампе памяти. Выявляются скрытые процессы, внедрённые модули, открытые сетевые сокеты.
• Анализ сетевой активности: Реконструкция сетевого трафика для выявления несанкционированных соединений с C2-серверами. Для обнаружения инфраструктуры ResidentBat используются характерные признаки: самоподписанные сертификаты с CN=server, портовый диапазон 7000-7257, специфические TLS-отпечатки.
• Динамический анализ в изолированной среде: Исполнение подозрительных файлов в песочнице (Cuckoo Sandbox, CAPE для Android) с мониторингом системных вызовов и сетевой активности.

2.4. Фаза 4: Документирование и юридическая квалификация 📜⚖️

Все выявленные артефакты связываются в логическую цепочку, доказывающую факт установки и функционирования шпионского ПО. Результаты оформляются в виде структурированного экспертного заключения, которое имеет юридическую силу и может быть использовано в судебных процессах по статьям 137, 138, 272 и 273 УК РФ.

3. Инструментальная база: технологический стек экспертной лаборатории

Эффективность услуг по проверке смартфонов и планшетов на наличие шпионского ПО напрямую зависит от используемого инструментария. Ниже представлена систематизация инструментов по этапам анализа:

4. Эмпирические кейсы: вариативность векторов проникновения

Рассмотрение реальных случаев из экспертной практики позволяет конкретизировать методологические принципы и продемонстрировать разнообразие угроз, требующих профессиональных услуг по проверке смартфонов и планшетов на наличие шпионского ПО.

Кейс №1: Государственный уровень — операция иностранных спецслужб 🏛️🇷🇺

В 2026 году ФСБ России вскрыла и задокументировала широкомасштабную акцию иностранных спецслужб по внедрению шпионского ПО на мобильные устройства высокопоставленных российских чиновников. Вредоносное ПО использовалось для прослушивания переговоров, негласного акустического и видеоконтроля обстановки вблизи электронных устройств. С использованием технических возможностей крупных международных IT-корпораций осуществлялось скрытое несанкционированное снятие информации с устройств объектов кибератаки. Следственным управлением ФСБ возбуждено уголовное дело по статьям 272 и 273 УК РФ. Данный кейс иллюстрирует государственный уровень угрозы и необходимость услуг по проверке смартфонов и планшетов на наличие шпионского ПО на аппаратном уровне.

Кейс №2: ResidentBat — шпионский имплант белорусского КГБ 🕵️‍♂️📟

ResidentBat — это шпионский имплант для Android, используемый белорусским КГБ для операций слежки против журналистов и гражданского общества. Установка происходит исключительно при физическом доступе к устройству и загрузке APK через ADB, а не через командный сервер. После установки операторы получают доступ к журналам звонков, записям микрофона, SMS, трафику зашифрованных мессенджеров, скриншотам экрана и локально хранимым файлам. Анализ кода показывает, что разработка инструмента велась как минимум с 2021 года. C2-серверы ResidentBat используют самоподписанные сертификаты с CN=server, работают в диапазоне портов 7000-7257, а инфраструктура сосредоточена в Нидерландах, Германии, Швейцарии и России.

Кейс №3: Keenadu — атака на цепочку поставок Android-устройств 🏭📱

В начале 2026 года «Лаборатория Касперского» обнаружила вредоносное ПО Keenadu на совершенно новых Android-устройствах. Более 13 000 смартфонов и планшетов подверглись атакам, из которых на Россию пришлось почти 9000. Зловред попадал на устройства на одном из этапов цепочки поставок при программировании, имитируя легитимные компоненты системы. Keenadu способен заражать любые установленные приложения, устанавливать программы из APK-файлов с предоставлением всех разрешений, что позволяет скомпрометировать конфиденциальные данные, включая фото, видео, личные сообщения, банковские реквизиты и отметки геолокации.

Кейс №4: Фишинговые кампании Android/Spy.ProSpy и Android/Spy.ToSpy 🎭📱

Исследовательская группа ESET выявила две активные кампании по распространению Android-шпионов, маскирующихся под популярные мессенджеры Signal и ToTok. Распространение происходит через сайты, внешне повторяющие официальные страницы сервисов. Заражение возможно только при ручной установке приложения из неизвестных источников. После запуска приложения меняют значок и отображаются в списке программ как Play Services. При нажатии на иконку пользователь перенаправляется к настоящему сервису Google, что серьёзно затрудняет выявление заражения. Программа запрашивает права доступа к контактам, SMS и файловой системе, а затем передаёт собранные данные на удалённые серверы.

5. Признаки компрометации: индикаторы для инициации проверки

На основе систематизации эмпирических данных можно выделить следующие группы признаков, указывающих на возможное наличие шпионского ПО и необходимость проведения профессиональных услуг по проверке смартфонов и планшетов на наличие шпионского ПО:

5.1. Аномальное поведение устройства 📉

• Быстрая разрядка аккумуляторной батареи без видимых причин (шпионские модули работают в фоновом режиме).
• Перегрев корпуса при отсутствии ресурсоёмких задач.
• Замедление работы, зависания, самопроизвольные перезагрузки.

5.2. Подозрительная сетевая активность 🌐

• Повышенный расход интернет-трафика без видимых причин.
• Обнаружение неизвестных исходящих соединений в нестандартные порты.
• Аномальные DNS-запросы к доменам с высоким коэффициентом энтропии.

5.3. Подозрительная активность в системе ⚙️

• Наличие незнакомых приложений, процессов или служб с именами, похожими на системные (Play Services с нестандартной подписью).
• Самопроизвольная активация камеры, микрофона или вспышки.
• Посторонние шумы, эхо или щелчки во время телефонных разговоров.
• Отключение или некорректная работа антивирусного ПО.

5.4. Компрометация информационного окружения 🕵️

• Злоумышленник демонстрирует знание информации, которой у него не должно быть (детали разговоров, переписки, маршруты передвижения).

6. Процессуальные основания и юридическая квалификация

Результаты услуг по проверке смартфонов и планшетов на наличие шпионского ПО могут служить основанием для возбуждения уголовного дела. Установка шпионского ПО без согласия владельца устройства подпадает под действие следующих статей Уголовного кодекса РФ:

• Статья 137 — Нарушение неприкосновенности частной жизни
• Статья 138 — Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений
• Статья 138.1 — Незаконный оборот специальных технических средств, предназначенных для негласного получения информации
• Статья 272 — Неправомерный доступ к компьютерной информации
• Статья 273 — Создание, использование и распространение вредоносных компьютерных программ

Для того чтобы экспертное заключение имело силу доказательства, оно должно быть получено с соблюдением всех процессуальных норм: экспертиза назначается на основании постановления следователя или определения суда (ст. 195 УПК РФ), эксперт предупреждается об ответственности по ст. 307 УК РФ за дачу заведомо ложного заключения (ст. 57 УПК РФ).

7. Алгоритм действий при подозрении на слежку

При обнаружении признаков цифрового наблюдения или несанкционированного доступа к устройству рекомендуется строго соблюдать следующий алгоритм:

1. НЕ ПРЕДПРИНИМАТЬ САМОСТОЯТЕЛЬНЫХ ДЕЙСТВИЙ ПО УДАЛЕНИЮ! 🛑 Уничтожение файлов или сброс настроек приведёт к потере цифровых следов, которые являются доказательной базой для правоохранительных органов.
2. НЕМЕДЛЕННО ОТКЛЮЧИТЬ УСТРОЙСТВО ОТ СЕТИ ИНТЕРНЕТ. ✈️ Перевести телефон в режим «в самолёте». Это остановит передачу данных на сервер злоумышленника.
3. НЕ ВЫКЛЮЧАТЬ УСТРОЙСТВО. Перезагрузка может уничтожить следы в оперативной памяти, критичные для обнаружения бесфайловых угроз.
4. ЗАФИКСИРОВАТЬ ИМЕЮЩИЕСЯ ДАННЫЕ: сделать скриншоты подозрительных уведомлений, сохранить чеки о списании средств.
5. НЕЗАМЕДЛИТЕЛЬНО ОБРАТИТЬСЯ К ЭКСПЕРТАМ. Чем раньше начата диагностика, тем больше данных можно восстановить из системных журналов, которые перезаписываются в течение ограниченного времени.

Ознакомьтесь с полным перечнем услуг и методик диагностики на официальной странице 🔗

Заключительный методологический вывод

Организация профессиональных услуг по проверке смартфонов и планшетов на наличие шпионского ПО представляет собой комплексную методологическую задачу, требующую системного подхода, специализированного инструментария и глубоких знаний в области архитектуры мобильных операционных систем, процессуального права и цифровой криминалистики. Рассмотренные кейсы — от государственного шпионажа с использованием сложных имплантов до атак на цепочку поставок и фишинговых кампаний — демонстрируют, что современное шпионское ПО использует весь спектр технических средств: от социальной инженерии и физического доступа до внедрения на уровне прошивки.

Методологический подход, включающий криминалистическую изоляцию, многоуровневый статический и динамический анализ, а при необходимости — аппаратное исследование прошивки, обеспечивает максимальную вероятность обнаружения скрытых угроз и сохранения доказательной базы. В условиях, когда количество смартфонов в России превышает численность населения, а иностранные спецслужбы активно используют мобильные устройства для сбора информации, профессиональная диагностика становится не просто технической процедурой, а критически важным инструментом обеспечения цифрового суверенитета личности и государства.

Инвестиции в профессиональную диагностику являются не затратами, а стратегическим вложением в информационную безопасность, предотвращающим многократно большие финансовые и репутационные потери. Доверяйте безопасность своих устройств и защиту своих прав только тем, кто владеет методами цифровой криминалистики на уровне, позволяющем видеть то, что скрыто от стандартных средств защиты, и оформлять результаты исследования в виде юридически значимого документа. ⚖️🔒🇷🇺