Аннотация
Эта монография написана не для того, чтобы пугать. Она написана для того, чтобы вы перестали думать, что шпионское ПО на телефоне — это про «муж следит за женой». Это давно не так. Сегодня на подпольном рынке продаются готовые комплекты, которые за 1400 долларов в месяц превращают чужой смартфон в инструмент кражи денег с банковских счетов. Не переписку читать — деньги воровать. И если вы физическое лицо, которое однажды обнаружит, что с его счёта ушли средства «по подтверждённому коду», или предприятие, чей бухгалтер кликнул не ту ссылку, — эта работа для вас. С кейсами. С ценами. С конкретикой.
1. Введение: хватит кивать на ревность
Давайте сразу расставим точки. Бытовые истории про «установил программу, чтобы следить за супругой» — это детский сад по сравнению с тем, что происходит на рынке коммерческого spyware последние два года.
В июне 2026 года исследователи iVerify обнаружили платформу Octagon. Русскоязычный продавец под ником AndroidKitKat продаёт её по подписке — 1400 долларов в месяц. Что получает покупатель? Панель управления для Windows и приложение для Android, которое после установки позволяет оператору видеть экран жертвы, нажимать кнопки, вводить текст, перехватывать SMS с кодами подтверждения и накладывать фальшивые окна поверх настоящих банковских приложений. Это не «слежка». Это удалённое управление чужими деньгами.
А связка CraxsRAT и NFCGate, которую F6 зафиксировала в России? К марту 2025 года — свыше 180 тысяч заражённых устройств. Ущерб за январь–февраль — почти 200 миллионов рублей. Механизм простой до неприличия: вы устанавливаете файл, замаскированный под «Фотографии.apk». Приложение просит приложить карту к телефону и ввести ПИН-код — якобы для проверки. Данные уходят преступникам. Деньги снимаются в банкомате .
Вот это — реальная угроза. А не ревнивый супруг.
Почему эта монография конфликтна? Потому что она говорит неприятную вещь: если вы потеряли деньги через банковское приложение на телефоне, и банк вам отказал со словами «операция подтверждена корректным кодом», — вы, скорее всего, останетесь виноватым. Если не докажете обратное. А доказать можно только одним способом: технической экспертизой устройства.
2. Как именно крадут деньги: три механизма, которые должен знать каждый
2.1. Перехват кодов подтверждения — и банк вам не поверит
Схема, которая ломает всю вашу защиту. Банк отправляет SMS с кодом. Вы его не видите. Видит злоумышленник. Octagon перехватывает входящие SMS и пересылает их оператору. ZeroDayRAT читает SMS, включая OTP-коды, что позволяет обходить двухфакторную аутентификацию и захватывать аккаунты .
Дальше — перевод. Банк видит: устройство ваше, IP ваш, код подтверждения введён корректно. Всё чисто. Вы приходите в банк: «Я ничего не переводил». Вам отвечают: «Операция подтверждена». И формально банк прав.
Конфликт интересов очевиден: банк защищает себя, а не вас. Пока вы не предоставите документ, подтверждающий, что устройство было скомпрометировано, вы — сторона, которая «нарушила условия договора».
2.2. Overlay-атаки: вы вводите пароль не туда
Технология overlay — это когда поверх настоящего окна банковского приложения появляется поддельное. Вы думаете, что вводите пароль в приложение банка. На самом деле — в форму, которую контролирует преступник.
Octagon делает это с Trust Wallet, Binance, MEXC, MetaMask. Готовые шаблоны. Покупатель может добавить свои. ZeroDayRAT использует overlay для кражи учётных данных из Google Pay, Apple Pay, PayPal .
Ключевой момент: для этого не нужны уязвимости в Android. Нужно разрешение на «специальные возможности», которое вы сами выдаёте при установке. Приложение выглядит безобидно. Работает в фоне. Пока вы не откроете банковское приложение — и не введёте данные в поддельное окно.
2.3. NFC-считывание карты: самый прямой способ
Связка CraxsRAT + NFCGate — это не «взлом». Это ограбление через ваш собственный телефон.
NFCGate изначально — легитимное приложение, сделанное студентами в 2015 году для отладки NFC-протоколов. Преступники превратили его в инструмент считывания карт. Схема: CraxsRAT (троян) проникает на устройство под видом полезной программы. Устанавливает NFCGate в фоне. Вас просят приложить карту и ввести ПИН-код. Данные уходят .
В отличие от фишинга, здесь не нужно вам звонить и уговаривать. Достаточно одного неосторожного клика. Дальше — автоматика.
3. Почему предприятия рискуют больше, чем думают
Бухгалтер с доступом к ДБО. Смартфон на Android. Ему приходит в WhatsApp файл «Акт сверки.pdf.apk». Он открывает. Через три недели с расчётного счёта организации уходят 420 тысяч рублей тремя транзакциями. Банк отказывает: коды подтверждения приходили на телефон бухгалтера, операции подтверждены.
Знакомая картина? Это не гипотетика. Это кейс из практики, который мы разберём ниже.
Проблема предприятий в том, что они смотрят на кибербезопасность как на «защиту периметра». Фаерволы, антивирусы, DLP. А деньги уходят через личный телефон сотрудника, который никаким периметром не защищён. И банк в этом случае видит легитимную операцию: устройство клиента, корректный код, знакомая сессия.
Вот где конфликт: предприятие считает, что банк должен был заметить аномалию. Банк считает, что предприятие должно было обеспечить безопасность устройства сотрудника. Прав тот, у кого есть документ.
4. Методика проверки: четыре уровня — четыре честных цены
Мы не обещаем «полную защиту». Мы обещаем установить факт компрометации и зафиксировать его так, чтобы вы могли использовать это в споре с банком, страховой или судом.
Уровень 1. Предварительный анализ — 5 000 рублей
Что делаем: смотрим разрешения. Кто имеет доступ к специальным возможностям? Кто читает SMS? Откуда установлены приложения? Есть ли неизвестные профили администрирования?
Что получаете: устное заключение. Есть ли явные красные флаги. Стоит ли копать глубже.
Честное ограничение: если вредонос уже удалён или маскируется под системную службу — этот уровень его не увидит. Octagon умеет работать так, что Google Play Защита говорит «всё чисто» .
Уровень 2. Краткая справка — 15 000 рублей
Что делаем: всё из первого уровня плюс анализ сетевых соединений. Ищем характерные артефакты: WardAccessibilityService, OctagonBridge, соединения по TCP-порту 4444. Проверяем запущенные процессы.
Что получаете: документ на 1–3 страницы. Можно приложить к заявлению в банк. Можно использовать во внутреннем расследовании на предприятии.
Когда имеет смысл: если вы уже потеряли деньги и хотите создать письменную историю для банка, но пока не готовы к полноценной экспертизе.
Уровень 3. Развёрнутое заключение — 25 000 рублей
Что делаем: снимаем образ памяти. Анализируем системные журналы. Восстанавливаем историю разрешений: когда и какое приложение получило доступ к Accessibility, SMS, уведомлениям. Ищем «спящие» компоненты. Сверяем с базами индикаторов компрометации по Octagon, ZeroDayRAT, CraxsRAT.
Что получаете: заключение на 5–15 страниц с подписью специалиста. Это уже документ, который можно предъявить в досудебном споре. Он фиксирует: устройство было скомпрометировано, механизм — такой-то, временные рамки — такие-то.
Почему это работает: банк отказывает на основании «операция подтверждена устройством клиента». Вы предоставляете документ: устройство клиента было под контролем третьей стороны. Это меняет юридическую картину.
Уровень 4. Экспертиза по запросу суда или следствия — от 50 000 рублей
Что делаем: полный образ памяти с восстановлением удалённых данных. Хронология: когда установлено, какие действия выполнялись, была ли передача данных за пределы устройства. Анализ финансовых артефактов. Заключение по вопросам, поставленным судом или следствием. При необходимости — участие в заседании.
Когда нужно: уголовное дело по факту хищения. Гражданский иск к банку. Страховой спор, где сумма покрытия зависит от того, была ли это «халатность» или «целевая атака».
5. Пять кейсов. Без прикрас.
Кейс 1. «Я спал. Деньги ушли в 3:17»
Кто: гражданин Н., 42 года.
Что случилось: списание 87 000 рублей через мобильное приложение банка в 03:17. Банк отказал: операция подтверждена корректным OTP-кодом с устройства клиента.
Что нашли (уровень 3): за 11 дней до инцидента установлено приложение «Обновление системы безопасности». Запросило Accessibility и SMS. В файловой системе — WardAccessibilityService и OctagonBridge. Соединения по порту 4444. В локальной базе — overlay-шаблоны для банковского приложения.
Результат: заключение в банк. Банк пересмотрел решение, вернул деньги. Материалы ушли в полицию.
Суть конфликта: без экспертизы Н. был виноват. С экспертизой — стал потерпевшим. Разница — 25 тысяч рублей и технический документ.
Кейс 2. «Кредит на 300 тысяч, который я не брала»
Кто: гражданка К., 35 лет.
Что случилось: в кредитной истории — заявка на потребительский кредит. Банк одобрил, но заблокировал выдачу. К. не подавала.
Что нашли (уровень 2): приложение «Фоторедактор» с доступом к SMS и уведомлениям. Сетевые соединения с инфраструктурой ZeroDayRAT. В журнале SMS — следы пересылки сообщений от банка на неизвестный номер. За неделю до заявки — переход по ссылке «обновление приложения банка».
Результат: краткая справка в банк. Кредитную заявку аннулировали. Кредитную историю скорректировали.
Почему это важно: шпионское ПО используется не только для кражи с существующего счёта. Оно позволяет оформить новый кредит на ваше имя. И если банк не заблокирует — вы будете должны деньги, которые никогда не видели.
Кейс 3. «Бухгалтер открыл PDF»
Кто: ООО «А.», малое предприятие.
Что случилось: 420 000 рублей ушли с расчётного счёта тремя транзакциями. Банк отказал: коды подтверждения приходили на телефон бухгалтера, операции подтверждены.
Что нашли (уровень 3): на смартфоне бухгалтера (Android 14) за три недели до инцидента установлен файл «Акт сверки.pdf.apk» через WhatsApp. Артефакты Octagon. Соединения по порту 4444. Журнал уведомлений показал перехват OTP. Overlay-шаблоны включали интерфейс ДБО, которым пользовалась организация.
Результат: заключение в банк и страховую. Банк возместил 70%. Страховая покрыла остаток по полису киберстрахования. Устройство заменено.
Что должен вынести бизнес: проверка личных телефонов сотрудников с доступом к деньгам — это не паранойя. Это дешевле, чем 420 тысяч.
Кейс 4. «Адрес совпадал. Первые и последние символы»
Кто: гражданин М., 29 лет, владелец Trust Wallet.
Что случилось: переводил 0,45 ETH на биржевой адрес. Скопировал. Визуально проверил: первые и последние символы совпадают. Отправил. Деньги ушли на чужой адрес.
Что нашли (уровень 3): компонент мониторинга буфера обмена. В логах — записи подмены clipboard при копировании Ethereum-адресов. Артефакты ZeroDayRAT. Приложение-носитель «Менеджер файлов» установлено за 5 дней до инцидента из Telegram.
Результат: заключение зафиксировало механизм. Деньги не вернуть — блокчейн необратим. Документ использован для заявления в полицию и информирования биржи.
Урок: визуальная проверка адреса криптокошелька не работает. Clipboard-инъекция меняет середину строки, оставляя края нетронутыми.
Кейс 5. «Проверка карты на безопасность»
Кто: гражданка С., 58 лет.
Что случилось: списание 95 000 рублей с карты, которую она не теряла. За два дня до этого — звонок «из банка»: «Давайте проверим карту на безопасность. Установите приложение, приложите карту, введите ПИН-код».
Что нашли (уровень 3): восстановленные из дампа следы CraxsRAT и модифицированного NFCGate. Журналы NFC-активности: считывание данных карты в момент, указанный С., передача на внешний сервер. Приложение мимикрировало под системное.
Результат: банк признал операцию мошеннической. Деньги вернули. Материалы в полицию.
Почему это самый опасный сценарий: жертва не подозревает о компрометации. Приложение работает в фоне. «Проверка карты» выглядит как забота банка. А на деле — считывание данных для снятия наличных.
6. Что вы можете проверить сами. Прямо сейчас.
Не замена экспертизе. Но способ понять, нужна ли она.
Откройте настройки → Специальные возможности. Любое приложение, которое вы не устанавливали специально для управления телефоном (TalkBack, Voice Access) и которое имеет там доступ — красный флаг. Octagon работает именно так .
Настройки → Приложения → Специальный доступ → SMS. Кто читает ваши сообщения? Банковские приложения не должны запрашивать это разрешение. Мессенджеры — тоже.
Вспомните: вы устанавливали что-то из WhatsApp или Telegram? «Фото.apk», «Видео.apk», «Обновление.apk», «Акт.pdf.apk»? Если да — устройство под подозрением. Именно так распространяются CraxsRAT и NFCGate .
Наберите ##002#. Это отменяет переадресацию вызовов. Если звонки перенаправлялись на незнакомый номер, а вы этого не настраивали — возможно, устройство уже под контролем.
Проверьте, не появились ли неизвестные профили администрирования. Настройки → Безопасность → Администрирование устройства.
7. Конфликт, который нужно принять
Банки не на вашей стороне. Не потому что злые. Потому что их защита построена на презумпции: «операция подтверждена корректным кодом с устройства клиента — значит, клиент». Это дешевле, чем расследовать каждый случай.
Страховые компании тоже не на вашей стороне. Пока вы не докажете, что это была целевая атака, а не ваша неосторожность.
Суд — не на вашей стороне, пока у вас нет документа. Прокуратура прямо указывает: доказывание обмана при заключении кредитного договора требует судебной экспертизы, оценки состояния лица в момент сделки, совокупности обстоятельств. Без технической экспертизы устройства вы просто говорите «я не делал». А банк говорит «код был корректный».
Техническое заключение меняет расстановку сил. Оно превращает вас из «клиента, который не уследил» в «потерпевшего от целевой атаки». Это разные юридические категории. И разные финансовые последствия.
8. Заключение
Шпионское ПО на телефоне — это не «муж следит за женой». Это рынок. Octagon продаётся за 1400 долларов в месяц. ZeroDayRAT распространяется через Telegram. CraxsRAT и NFCGate заразили 180 тысяч устройств в России, ущерб — 200 миллионов рублей за два месяца .
Вы можете сколько угодно надеяться, что вас это не коснётся. Или можете проверить устройство.
Цены честные. Без «звоните, договоримся».
- 5 000 рублей — предварительный анализ. Понять, есть ли проблема.
- 15 000 рублей — краткая справка. Документ для банка или работодателя.
- 25 000 рублей — развёрнутое заключение. Доказательство для досудебного спора.
- От 50 000 рублей — экспертиза по запросу суда или следствия. Процессуальный документ по факту хищения.
Если вы потеряли деньги через банковское приложение и банк вам отказал — у вас есть выбор. Смириться. Или проверить телефон и вернуться в банк с документом.
Мы делаем второе.
Услуги оказываются в соответствии с описанной градацией. Стоимость экспертизы по запросу суда или следствия определяется сложностью дела, количеством поставленных вопросов, необходимостью восстановления удалённых данных и срочностью.
Задавайте любые вопросы
[dwqa-submit-question-form]