Доброго дня, уважаемые коллеги  — следователи, судьи, адвокаты, корпоративные юристы, руководители служб безопасности и все, кто сталкивается с необходимостью юридически безупречного документирования фактов негласного наблюдения, незаконного сбора персональных данных и хищения денежных средств с банковских счетов с использованием вредоносного программного обеспечения! 👋⚖️💻

Сегодня мы с вами разбираем одну из самых чувствительных и юридически насыщенных тем в области кибербезопасности  — выявление шпионских программ как основа для судебного доказывания, возбуждения уголовных дел и защиты прав потерпевших.  Настоящая статья написана в судебно-экспертном ключе:  каждый раздел содержит ссылки на нормы процессуального права, алгоритмы сбора и оформления доказательств, а также практические рекомендации по взаимодействию с экспертными учреждениями.  🧠📚

Сразу обозначим нашу позицию:  мы  — команда судебных IT-экспертов, базирующаяся в Москве.  Однако для сложных дел, для анализа стационарных серверов, серверов синхронизации и корпоративной IT-инфраструктуры мы готовы вылетать в любой регион России  — от Калининграда до Камчатки.  Физический доступ к оборудованию  — это краеугольный камень методически верного выявления шпионских программ, особенно когда речь идет о серверных стойках, RAID-массивах и промышленных контроллерах.  🚁🖥️

В этой статье мы рассмотрим правовые основания и процессуальный статус эксперта, классификацию шпионского ПО, методику многоуровневого анализа, реальные кейсы из практики и алгоритмы действий для процессуального закрепления доказательств.  Выявление шпионских программ в корпоративной среде требует комплексного подхода, а выявление шпионских программ на мобильных устройствах  — особых инструментов и навыков.  Мы покажем, что выявление шпионских программ  — это не разовая акция, а системный процесс, и что выявление шпионских программ позволяет не только выявить угрозу, но и собрать доказательства для суда.  Наша лаборатория в Москве, но для анализа стационарных серверов мы готовы вылетать в любой регион России.  🛰️🚀

Раздел 1.  Процессуальный статус эксперта и правовые основания для выявления шпионских программ

Федеральный закон от 31.05.2001 № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации» определяет правовую основу, принципы организации и основные направления государственной судебно-экспертной деятельности в гражданском, административном и уголовном судопроизводстве.

В соответствии со статьёй 2 данного закона, задачей государственной судебно-экспертной деятельности является оказание содействия судам, судьям, органам дознания, лицам, производящим дознание, следователям в установлении обстоятельств, подлежащих доказыванию по конкретному делу, посредством разрешения вопросов, требующих специальных знаний в области науки, техники, искусства или ремесла.

Принципами государственной судебно-экспертной деятельности являются законность, соблюдение прав и свобод человека и гражданина, прав юридического лица, а также независимость эксперта, объективность, всесторонность и полнота исследований, проводимых с использованием современных достижений науки и техники.

Статья 57 Уголовно-процессуального кодекса РФ устанавливает, что экспертом является лицо, обладающее специальными знаниями и назначенное в порядке, установленном Кодексом, для производства судебной экспертизы и дачи заключения.  Эксперт вправе знакомиться с материалами дела, ходатайствовать о предоставлении дополнительных материалов, участвовать в процессуальных действиях и давать заключение в пределах своей компетенции.  При этом эксперт не вправе самостоятельно собирать материалы для исследования и проводить без разрешения следователя или суда исследования, могущие повлечь уничтожение объектов.

В рамках выявления шпионских программ судебный эксперт руководствуется требованиями процессуального законодательства и применяет специальные знания в области компьютерной криминалистики для выявления и документирования фактов несанкционированного вмешательства в работу цифровых устройств.  Выявление шпионских программ в уголовном судопроизводстве может проводиться как на основании постановления следователя, так и по определению суда.  Выявление шпионских программ в гражданском процессе назначается судом по ходатайству стороны.  Выявление шпионских программ в досудебном порядке может быть проведено по инициативе заинтересованного лица с последующим представлением заключения в суд в качестве письменного доказательства.

Раздел 2.  Таксономия шпионского ПО:  классификация и ключевые индикаторы

Шпионское программное обеспечение  (spyware, stalkerware, tracking software)  — это класс программ, предназначенных для скрытого сбора, агрегации и передачи информации с зараженного устройства.  Сложность выявления шпионских программ заключается в их маскировке:  современные образцы обфусцируют свой код, маскируются под системные процессы, используют легитимные каналы связи и имеют механизмы самоуничтожения при обнаружении отладки или антивируса.

Классификация по целевому назначению и функционалу:

• Кейлоггеры (Keyloggers) — записывают нажатия клавиш.  Подразделяются на аппаратные  (внедряются на уровне контроллера клавиатуры) и программные  (внедряются в виде драйверов, хуков в оконную подсистему или модифицируют библиотеки ввода).
• Трояны удаленного доступа (RAT) — обеспечивают полный контроль над системой.  Часто используют легитимные протоколы для маскировки.
• Информационные сборщики (Data Stealers) — специализируются на поиске и извлечении конкретных данных:  файлов по расширению, кэшей браузеров, данных из клиентов мессенджеров.
• Сетевые снифферы (Sniffers) — перехватывают сетевые пакеты на зараженном хосте.
• Скриншотеры (Screen Capture) — регулярно или по событию делают снимки экрана.

Классификация по стелс-технологиям и устойчивости:

• User-Mode Rootkits — маскируют процессы, файлы, ключи реестра на уровне приложений.
• Kernel-Mode Rootkits — внедряются в ядро ОС, перехватывая системные вызовы. Обнаружение требует анализа целостности ядра.
• Буткиты (Bootkits) — заражают загрузочные секторы  (MBR, UEFI) и активируются до загрузки ОС.  Являются наиболее сложными для обнаружения стандартными средствами.
• Объекты, не связанные с файлами (Fileless Malware) — исполняются в памяти, используя легитимные процессы и скриптовые движки.

Программы государственного уровня  (Pegasus, Graphite) используют уязвимости нулевого дня в iOS, включая атаки с нулевым кликом  (zero-click), которые используют уязвимости в приложениях iMessage, WhatsApp или FaceTime для тихого заражения устройства без необходимости взаимодействия жертвы.  Возможности включают кейлоггинг, доступ к микрофону и камере, GPS-трекинг и захват снимков экрана.

Особую опасность представляют программы, нацеленные на хищение денежных средств.  Как сообщила председатель Банка России Эльвира Набиуллина, мошенники стали использовать вредоносную программу типа SpyNote, с помощью которой они могут получить доступ к телефону человека и опустошить счета.  По данным ЦБ, 40-50% хищений денег со счетов совершается при помощи этой программы.  💰⚠️

Раздел 3.  Методология судебно-экспертного исследования при выявлении шпионских программ

Методология выявления шпионских программ базируется на принципе последовательного перехода от процессуальной фиксации состояния системы к анализу артефактов.  Выявление шпионских программ должно быть многоуровневым:  от статического анализа до поведенческого в песочнице и ручного реверс-инжиниринга.

3.1.  Обеспечение неизменности данных.  Золотое правило криминалистики:  никогда не работать с оригинальным носителем.  Создается посекторная копия с использованием аппаратных блокираторов записи  (write-blocker).  Каждый образ снабжается хеш-суммой  (MD5/SHA-256).  Изменение хотя бы одного бита сделает образ недопустимым доказательством.

3.2.  Фиксация состояния системы.  До начала любых действий производится фото- и видеофиксация экрана с открытыми процессами и сетевыми подключениями.  Создается дамп оперативной памяти.

3.3.  Статический анализ.  Анализ данных на носителях без их выполнения:  исследование автозагрузки, анализ файловой системы, проверка цифровых подписей исполняемых файлов, анализ сетевых логов.

3.4.  Динамический анализ в изолированной среде.  Запуск подозрительных файлов в песочнице  (sandbox) для наблюдения за их поведением.

3.5.  Ручной реверс-инжиниринг.  Применяется для сложных случаев, когда автоматические методы бессильны.

Раздел 4.  Кейс № 1:  Финансовый троян и хищение денежных средств со счетов 💰📱

Обстоятельства дела.  В нашу лабораторию обратился гражданин, с чьего банковского счета было списано 950 000 рублей.  Заявитель получил текстовое сообщение от имени крупного банка.  В сообщении содержалась информация о блокировке банковской карты и ссылка для разблокировки.  Заявитель перешел по ссылке.  Открывшийся сайт визуально полностью копировал официальный портал банка.  Заявитель ввел свой логин, пароль и код подтверждения из текстового сообщения.

Суть атаки.  На хакерских форумах активно предлагаются в аренду вредоносные программы для Android, которые умеют подменять экраны банковских приложений и сайтов, показывая жертве фальшивые формы.  Вредонос также перехватывает нажатия клавиш, включая ввод PIN-кодов, работает с SMS:  читает сообщения, отправляет их, удаляет и собирает историю переписки и контактов.

Этапы выявления шпионских программ  (процессуальный аспект):

1. Изоляция и фиксация.  Устройство помещено в экранирующую камеру для блокировки всех каналов связи.
2. Создание побитовой копии.  Создана побитовая копия внутреннего накопителя смартфона с использованием аппаратного блокиратора записи.
3. Статический анализ.  В системном разделе памяти обнаружено приложение без иконки, скрытое из общего списка установленных программ.  Приложение запрашивало доступ к текстовым сообщениям, уведомлениям и возможность отображать окна поверх других приложений.
4. Реверс-инжиниринг.  Выполнен анализ исполняемого файла и выявлены функции перехвата одноразовых паролей, поступающих в текстовых сообщениях от банка.
5. Динамический анализ.  Подтверждено, что вредонос отправляет украденные данные на сервер, зарегистрированный через подставное лицо.

Результат.  Вредоносный модуль был удален с сохранением всех пользовательских данных.  Составлено заключение, которое было передано в правоохранительные органы для возбуждения уголовного дела.  Заключение также использовано в банке для запуска процедуры страхового возмещения.  Выявление шпионских программ в подобных случаях позволяет восстановить цепочку заражения и подготовить доказательства для суда.  Мы в Москве, но для анализа стационарных серверов готовы вылетать в любой регион России.

Раздел 5.  Кейс № 2:  Корпоративный шпионаж через модифицированный драйвер 🏢💻

Обстоятельства дела.  Крупный производитель автокомпонентов заподозрил утечку чертежей и коммерческих предложений.  Сотрудники жаловались на «перебои с интернетом», но провайдер не фиксировал сбоев.  Внутренний аудит не выявил вредоносного ПО на рабочих станциях.  Владелец бизнеса заподозрил промышленный шпионаж со стороны бывшего IT-директора.

Суть атаки.  Злоумышленник заранее модифицировал драйвер сетевого адаптера  (NIC) на нескольких ключевых серверах.  При загрузке драйвер инициировал теневой сетевой туннель, через который дублировались пакеты с определёнными типами  (порты, протоколы, адреса получателей).  Никаких процессов в системе не появлялось, антивирусы и EDR-решения не срабатывали, так как закладка работала на уровне ядра ОС  (kernel-mode).  Драйвер был подписан украденным сертификатом, поэтому системы не выдавали предупреждений.

Этапы выявления шпионских программ  (процессуальный аспект):

1. Сетевой анализ.  Использован анализатор сетевых пакетов в режиме мониторинга  (промышленная PCAP-запись).
2. Выявление аномалий.  Выявлены пакеты, которые шли на нестандартный порт в направлении IP-адреса, не принадлежащего ни одному из бизнес-партнёров.
3. Анализ хеш-сумм.  Проведён анализ хеш-сумм сетевых драйверов  — обнаружено несоответствие эталонным версиям.
4. Дамп памяти ядра.  С помощью дампа памяти ядра получен код закладки.
5. Аппаратное тестирование.  Проведено аппаратное тестирование сетевой карты:  обнаружено, что закладка была прописана не только в драйвере, но и в EEPROM сетевой карты.

Результат.  Обнаружены три сервера с закладкой, через которые утекала информация о закупках и новых разработках.  Установлен бывший IT-директор.  Заключение легло в основу уголовного дела о коммерческом шпионаже.  Данный пример показывает, что выявление шпионских программ не заканчивается на антивирусе.  Выявление шпионских программ на уровне ядра и EEPROM требует уникального оборудования и методик.  Мы в Москве, но для анализа стационарных серверов готовы вылетать в любой регион России.

Раздел 6.  Кейс № 3:  Сталкерское ПО на Android-смартфоне 📱👤

Обстоятельства дела.  В лабораторию обратилась гражданка с жалобами на аномальное поведение ее смартфона под управлением Android:  быстрый разряд аккумулятора, наличие щелчков и эха во время телефонных разговоров, самопроизвольное включение экрана в ночное время, фиксация неизвестного сетевого трафика.  Заявительница находилась в процессе расторжения брака и подозревала супруга в установке шпионского ПО.

Суть атаки.  Устройство было заражено сталкерским ПО  (stalkerware)  — классом приложений, которые рекламируются как «инструменты родительского контроля», но отличаются от легитимного родительского контроля скрытностью.  Сталкерские приложения регулярно передают на сервер геолокацию жертвы, способны отправлять переписки и другую конфиденциальную информацию, включать звукозапись с микрофона.

Этапы выявления шпионских программ  (процессуальный аспект):

1. Изоляция устройства. Устройство помещено в экранирующую камеру для блокировки всех каналов связи.
2. Создание побитовой копии. Создана побитовая копия внутренней памяти.
3. Анализ установленных приложений. Анализ установленных приложений выявил пакет с названием, визуально неотличимым от системной службы обновлений.  Отличие заключалось в одной букве в имени пакета.  Цифровая подпись приложения не соответствовала сертификату разработчика
4. Анализ разрешений. Приложение запрашивало доступ к микрофону, камере, геолокации, контактам, текстовым сообщениям и возможности записи экрана.
5. Сетевой анализ. В системных логах были обнаружены регулярные соединения с удаленным сервером, расположенным на территории иностранного государства.

Результат.  Вредоносный пакет был удален с сохранением всех пользовательских данных.  Составлено заключение, которое использовано в судебном процессе.  Супруг признал факт установки ПО.  Заключение эксперта по итогам выявления шпионских программ стало основанием для возбуждения уголовного дела по ст.  137, 138, 272, 273 УК РФ.  Мы в Москве, но для сложных дел готовы вылетать в любой регион России.

Раздел 7.  Инструментарий судебного эксперта для выявления шпионских программ 🛠️

Для достижения достоверных результатов мы используем только лицензионное, сертифицированное и верифицированное программное обеспечение, а также калиброванное оборудование:

Программные средства:

• Для извлечения данных: Cellebrite UFED, Magnet AXIOM, Oxygen Forensic Detective — создание резервных копий, физических дампов iOS/Android.
• Для анализа образов дисков: X-Ways Forensics, EnCase, FTK Imager — поиск скрытых файлов, артефактов реестра, удалённой информации.
• Для анализа памяти: Volatility Framework, Rekall — обнаружение бесфайловых шпионов, инжектированных процессов.
• Для статического анализа APK/IPA: jadx, Ghidra, IDA Pro — декомпиляция, анализ кода на предмет шпионских функций.
• Для динамического анализа: Cuckoo Sandbox, ANY.RUN — запуск подозрительных программ в изолированной среде.
• Для сетевого анализа: Wireshark, Zeek, Suricata — анализ дампов трафика на предмет C2-соединений.
• Для сигнатурного поиска: YARA-правила (более 5000 сигнатур spyware), ClamAV, собственные коллекции.

Аппаратные средства:

• Аппаратные блокираторы записи Tableau Forensic Bridge, Logicube Falcon — обеспечивают криминалистическую чистоту копирования.
• Программаторы Medusa Pro, EasyJTAG, Z3X — для снятия физических дампов EMMC/UFS с мобильных устройств.
• SPI-программаторы — для извлечения прошивок EFI при подозрении на буткит.

Раздел 8.  Правовая квалификация и типовые вопросы суда

Уголовный кодекс Российской Федерации  — статьи, которые могут быть применены при установлении факта использования шпионского ПО:

• Статья 137 «Нарушение неприкосновенности частной жизни» – незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия. Квалифицированный состав — совершение тех же деяний лицом с использованием своего служебного положения.  Санкция:  до 2 лет лишения свободы.
• Статья 138 «Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений» – санкция: до 2 лет лишения свободы. Квалифицированный состав  — с использованием служебного положения  — до 4 лет лишения свободы.
• Статья 138.1 «Незаконный оборот специальных технических средств, предназначенных для негласного получения информации» – производство, приобретение и (или) сбыт специальных технических средств. Санкция:  до 3 лет лишения свободы.
• Статья 272 «Неправомерный доступ к компьютерной информации» – неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации. Санкция: до 2 лет лишения свободы.  Квалифицированный состав  — до 5 лет.
• Статья 273 «Создание, использование и распространение вредоносных программ» – создание, распространение или использование компьютерных программ, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты. Санкция: до 4 лет лишения свободы.

Типовые вопросы суда:

• Обнаружены ли на представленных носителях программы, предназначенные для негласного получения информации?
• Каков механизм их работы?
• Когда и с какого IP-адреса производилась установка?
• Какой объём информации был скомпрометирован?
• Имеются ли следы удаления или маскировки шпионского ПО?

Раздел 9.  Приглашение на сайт 🔗

Уважаемые коллеги! Мы показали правовые основания, процессуальные аспекты и реальные кейсы из практики.  Если вы подозреваете наличие шпионского ПО на своих устройствах или в корпоративной сети  — мы готовы провести полную диагностику.  Находимся в Москве, но для сложных дел и анализа стационарных серверов готовы вылетать в любой регион России.  🏢🛡️

Подробнее о наших услугах:  https://sud-expertiza.ru

Раздел 10.  Финальный аккорд 🎯

Дорогие друзья! Выявление шпионских программ  — это не про «вирусы», это про реальных людей, которые охотятся за вашими данными.  Выявление шпионских программ требует не просто сканирования, а реверс-инжиниринга, анализа дампов памяти и трафика.  Выявление шпионских программ  — это единственный способ разорвать цепочку утечки, когда антивирусы бессильны.  Выявление шпионских программ  — это необходимая мера, если вы цените свою информацию.  Выявление шпионских программ  — это наша специализация.  И мы готовы прийти на помощь в любой точке России.  ✈️🔐

С уважением и готовностью защищать,
Союз «Федерации судебных экспертов» 🛡️💻🔍