Настоящее методическое руководство посвящено проблеме обнаружения вредоносного программного обеспечения на мобильных устройствах в контексте хищения денежных средств с банковских счетов и оформления мошеннических кредитных обязательств. В отличие от бытовых сценариев несанкционированного наблюдения, основное внимание уделено финансовым троянам, бэкдорам, интегрированным в прошивку, и вредоносному ПО удалённого доступа, которое выступает непосредственным инструментом хищения. Приводятся актуальные статистические данные, описываются технические механизмы компрометации и хищения, предлагается пошаговый алгоритм действий для физических лиц и представителей предприятий. Представлены пять кейсов из экспертной практики, иллюстрирующих различные сценарии финансовых потерь. Описана градация экспертных услуг с указанием стоимости и процессуального значения результатов. Материал предназначен для практического использования лицами, столкнувшимися с подозрением на компрометацию устройства или уже понёсшими финансовый ущерб.
Ключевые слова: банковский троян, шпионское ПО, мобильная экспертиза, хищение денежных средств, кредитное мошенничество, Accessibility Services, судебная экспертиза, цифровая криминалистика.
1. Введение: предмет, актуальность и целевая аудитория
1.1. Предмет руководства
В обиходном словоупотреблении «шпионское ПО на телефоне» ассоциируется прежде всего с бытовыми сценариями: супруг устанавливает программу для чтения переписки, родители контролируют ребёнка, работодатель отслеживает сотрудника. Эти сценарии реальны, однако они представляют собой периферию угрозы. Ядро проблемы лежит в финансовой плоскости.
Современное вредоносное ПО для мобильных устройств, ориентированное на извлечение прибыли, не ставит целью чтение личных сообщений. Его цель — доступ к банковским счетам, платёжным системам и кредитным инструментам. По данным Банка России, в 2025 году жертвами кибермошенничества стали 29% опрошенных, при этом потери от действий с использованием вредоносного ПО наступали вдвое чаще, чем от телефонных звонков. Общий объём похищенных у россиян средств за 2025 год оценивается в 280–290 млрд рублей.
Настоящее руководство посвящено именно этому классу угроз. Программы бытовой слежки упоминаются лишь постольку, поскольку их технические механизмы (доступ к Accessibility Services, перехват уведомлений) пересекаются с механизмами финансовых троянов. Основное внимание уделено вредоносному ПО, которое выступило инструментом кражи денежных средств с расчётного счёта или получения кредита с последующим выводом средств.
1.2. Целевая аудитория и структура руководства
Руководство предназначено для двух категорий пользователей:
Физические лица, столкнувшиеся с подозрением на компрометацию личного устройства или уже понёсшие финансовые потери. Для них важны практические шаги: как проверить устройство, что делать при обнаружении вредоносного ПО, как выстроить взаимодействие с банком и правоохранительными органами.
Представители предприятий — руководители, сотрудники служб безопасности, главные бухгалтеры, — чьи корпоративные устройства используются для подтверждения финансовых операций. Для них критичны вопросы организационного характера: как выстроить политику безопасности, как действовать при инциденте, как минимизировать репутационные и правовые риски.
Структура руководства следует логике практических действий: от понимания механизмов угрозы (раздел 2) через описание кейсов (раздел 3) к конкретным алгоритмам проверки (раздел 4) и градации экспертных услуг (раздел 5). Завершают руководство рекомендации по профилактике и алгоритм действий при инциденте.
2. Механизмы компрометации и хищения: что необходимо знать для правильных действий
2.1. Векторы проникновения вредоносного ПО
Понимание того, как вредоносное ПО попадает на устройство, необходимо для правильной оценки рисков и для ответа на вопрос «могло ли это произойти со мной».
Боковая загрузка APK-файлов. Пользователю предлагается установить приложение «для обновления банковского сервиса», «для просмотра фото» или «для получения выплаты». Файл с расширением. apk передаётся через мессенджер или скачивается с фишинговой страницы. Данный вектор остаётся основным каналом распространения банковских троянов.
Smishing (SMS-фишинг). Злоумышленники рассылают SMS с ссылками на поддельные страницы, имитирующие официальные ресурсы. Например, троян Frogblight распространялся через сообщения, предлагавшие установить приложение якобы для доступа к информации о судебных делах. Троян Albiriox распространялся через поддельные страницы Google Play Store, имитировавшие приложение сети супермаркетов.
Поддельные магазины приложений. Создаются копии страниц официальных магазинов, на которых размещаются вредоносные установщики. Жертва полагает, что скачивает легитимное приложение из официального источника.
Предустановленные бэкдоры. Наиболее тревожная тенденция — интеграция вредоносного кода непосредственно в прошивку устройства на этапе производства или в цепочке поставок. Пользователь не совершает никаких действий для заражения — устройство инфицировано «из коробки». Данный вектор особенно актуален для устройств, приобретённых через неофициальные каналы.
2.2. Технические механизмы, обеспечивающие хищение
После установки финансовый троян стремится получить разрешение на доступ к службам специальных возможностей (Accessibility Services). Этот компонент Android изначально предназначен для помощи пользователям с ограниченными возможностями, однако при предоставлении доступа стороннему приложению оно получает возможность читать содержимое экрана, имитировать нажатия, перехватывать вводимые символы и управлять другими приложениями.
Типовой функциональный арсенал банковского трояна включает:
Overlay-атаки. Поверх легитимного банковского приложения отображается поддельный экран, неотличимый от настоящего, но вводимые логин, пароль и реквизиты карты передаются злоумышленникам. Троян FvncBot использует WebView для загрузки поддельных страниц поверх банковских приложений.
Перехват SMS и push-уведомлений. Одноразовые коды подтверждения, направляемые банком, немедленно перехватываются и передаются на командный сервер. Это обнуляет эффективность двухфакторной аутентификации, основанной на SMS.
Кейлоггинг через Accessibility API. Фиксация всех нажатий, включая ввод паролей в банковских приложениях и мессенджерах. FvncBot, например, накапливает данные в буфере на 1000 элементов и периодически отправляет их злоумышленникам.
Удалённое управление устройством. Наиболее продвинутые образцы реализуют полноценный RAT-функционал: трансляцию экрана, управление жестами, ввод текста и скрытие следов активности за чёрным overlay-экраном. Троян Albiriox использует VNC для управления заражённым устройством в режиме реального времени, включая отключение звука и показ «пустых» экранов для маскировки активности. Klopatra выбирает момент, когда устройство остаётся без присмотра (ночью, во время зарядки), создаёт видимость отключённого смартфона и выполняет несанкционированные переводы.
2.3. От хищения средств к кредитному мошенничеству
Прямое списание средств — не единственный сценарий. В задокументированных случаях трояны использовались для получения доступа к государственным сервисам идентификации с целью оформления кредитов и займов на имя жертвы. Полученные средства выводятся на счета, контролируемые злоумышленниками, а жертва узнаёт о существовании кредитного обязательства лишь спустя месяцы.
Для предприятий этот сценарий особенно опасен, если компрометированное устройство принадлежит руководителю или сотруднику, имеющему доступ к корпоративным финансам. Кредит, оформленный на такое лицо, может быть использован для создания фиктивной задолженности, которая впоследствии предъявляется к взысканию с организации или используется в качестве рычага давления.
3. Кейсы из экспертной практики
Примечание: кейсы составлены на основе типичных сценариев, наблюдаемых в экспертной практике, с изменением идентифицирующих деталей. Каждый кейс иллюстрирует определённый механизм компрометации и соответствующий уровень экспертных услуг.
Кейс 1. Хищение с расчётного счёта организации через компрометацию телефона главного бухгалтера
Обстоятельства. ООО «Северная логистика» (название изменено) обнаружило списание 1 870 000 рублей с расчётного счёта в течение 48 часов. Операции проводились через систему ДБО с подтверждением SMS-кодами, поступавшими на телефон главного бухгалтера. Бухгалтер утверждала, что не инициировала переводы и не передавала коды третьим лицам. Банк отказал в возврате средств, указав на «ненадлежащее хранение аутентификационных данных клиентом».
Исследование. Предварительный анализ (5 000 руб.) выявил на устройстве Android приложение с разрешением Accessibility Services, замаскированное под «оптимизатор батареи». Краткая справка (15 000 руб.) зафиксировала перехват SMS-сообщений и передачу данных на IP-адрес, расположенный за пределами РФ. Развёрнутое заключение (25 000 руб.) установило, что троян был установлен за 11 дней до хищения через APK-файл, полученный в мессенджере под видом «обновления корпоративного портала».
Результат. Заключение было приложено к претензии банку и к заявлению в полицию. На основании материалов было возбуждено уголовное дело. Банк в ходе разбирательства признал, что SMS-коды были скомпрометированы не по вине клиента, и возместил 70% суммы. Остаток взыскан в порядке гражданского судопроизводства.
Методический вывод. Для предприятий критически важно, чтобы устройство, используемое для подтверждения операций по расчётному счёту, проходило регулярную проверку. В данном случае компрометация произошла за 11 дней до хищения — своевременная проверка позволила бы предотвратить потери.
Кейс 2. Оформление кредита на физическое лицо после заражения через «обновление банковского приложения»
Обстоятельства. Гражданин К. получил в мессенджере сообщение от «службы поддержки банка» с предложением обновить приложение для «повышения безопасности». Перейдя по ссылке, он скачал APK-файл. Через два месяца при проверке кредитной истории обнаружил кредит на 450 000 рублей, оформленный в другом банке. Средства были выведены на счёт, открытый на его имя, но им не контролируемый.
Исследование. Предварительный анализ (5 000 руб.) подтвердил наличие подозрительного приложения с доступом к SMS и уведомлениям. Развёрнутое заключение (25 000 руб.) показало, что троян перехватывал SMS от банков, включая коды подтверждения, и перенаправлял их на сервер злоумышленников. Также было установлено, что вредоносное ПО получало доступ к списку контактов и, вероятно, использовалось для подачи заявки на кредит от имени К. с подтверждением через перехваченные SMS.
Результат. Заключение легло в основу заявления в полицию и иска к банку, выдавшему кредит, о признании договора недействительным. Суд назначил судебную экспертизу, которая подтвердила выводы досудебного исследования. Кредитный договор был признан недействительным, запись в кредитной истории аннулирована.
Методический вывод. Кредитное мошенничество может быть выявлено только при проверке кредитной истории. Если вы обнаружили кредит, который не оформляли, — это прямой сигнал о возможной компрометации устройства и необходимости экспертизы.
Кейс 3. Предустановленный бэкдор на новом смартфоне, приобретённом через маркетплейс
Обстоятельства. Сотрудник IT-отдела предприятия приобрёл новый смартфон популярного бренда через неофициальный маркетплейс по цене на 30% ниже рыночной. Устройство использовалось для корпоративной почты и мессенджеров, но не для банковских операций. Через три недели с корпоративной карты, привязанной к аккаунту сотрудника, были списаны 120 000 рублей через мобильный банк, приложение которого на этом устройстве не устанавливалось.
Исследование. Предварительный анализ (5 000 руб.) не выявил сторонних приложений, однако развёрнутое заключение (25 000 руб.) с анализом системных разделов показало наличие вредоносного кода в /system/framework, интегрированного в прошивку. Код перехватывал SMS и отправлял данные на командный сервер. Банковское приложение, установленное на другом устройстве, не было скомпрометировано напрямую, однако перехваченные SMS с кодами подтверждения, поступавшие на заражённый телефон, позволили злоумышленникам войти в мобильный банк.
Результат. Устройство было возвращено продавцу с требованием возврата стоимости; продавец, не осведомлённый о заражении, удовлетворил требование. Банк, получив заключение эксперта, признал операцию мошеннической и вернул средства. Инцидент инициировал проверку всех корпоративных устройств, приобретённых через неофициальные каналы.
Методический вывод. Приобретение устройств через неофициальные каналы создаёт риск предустановленного вредоносного ПО, которое не обнаруживается стандартными антивирусными средствами. Для предприятий рекомендуется закупка только у авторизованных продавцов с последующей проверкой устройств, используемых для доступа к финансовым системам.
Кейс 4. Хищение средств с использованием overlay-атаки на клиента банка
Обстоятельства. Гражданка М. обнаружила списание 89 000 рублей со счёта после того, как в течение недели пользовалась смартфоном «как обычно». Единственным необычным обстоятельством было приложение для «скидок в супермаркете», установленное из стороннего источника по ссылке из SMS-рассылки.
Исследование. Краткая справка (15 000 руб.) зафиксировала наличие приложения с разрешением на отображение поверх других окон и Accessibility Services. Развёрнутое заключение (25 000 руб.) установило, что при запуске банковского приложения троян отображал поддельный экран ввода логина и пароля, а также экран подтверждения перевода, который жертва воспринимала как часть легитимного интерфейса. Введённые данные передавались на сервер, после чего злоумышленники самостоятельно инициировали перевод.
Результат. Банк после предъявления заключения признал, что клиент стал жертвой вредоносного ПО, и компенсировал полную сумму. Материалы переданы в полицию для установления лиц, распространявших троян.
Методический вывод. Overlay-атаки особенно опасны тем, что жертва не подозревает о происходящем: она видит привычный интерфейс и вводит данные, которые немедленно перехватываются. Единственный способ защиты — не устанавливать приложения из непроверенных источников.
Кейс 5. Попытка оформления кредита через компрометацию аккаунта государственных услуг
Обстоятельства. Гражданин С. получил уведомление о том, что на его имя подан запрос на кредит в микрофинансовой организации. Он не подавал заявку. Выяснилось, что за неделю до этого он устанавливал на телефон приложение «для записи к врачу» из стороннего источника.
Исследование. Предварительный анализ (5 000 руб.) выявил приложение с подозрительными разрешениями, включая доступ к SMS и Accessibility. Развёрнутое заключение (25 000 руб.) показало, что троян перехватывал SMS с кодами подтверждения от портала государственных услуг и от банков. Используя эти коды, злоумышленники восстановили доступ к учётной записи С. на портале, получили доступ к его персональным данным и попытались оформить кредит. Заявка была отклонена МФО по внутренним критериям скоринга, однако факт попытки подтверждён.
Результат. Заключение использовано для обращения в Роскомнадзор и в полицию. Учётная запись С. на портале была защищена дополнительными мерами аутентификации. МФО, получив материалы, аннулировала заявку и подтвердила, что она была подана с устройства, не принадлежащего С.
Методический вывод. Компрометация аккаунта на портале государственных услуг открывает злоумышленникам доступ к персональным данным, достаточным для подачи заявок на кредиты. Регулярная проверка кредитной истории и подключение уведомлений о запросах на кредит позволяют выявить такие попытки на ранней стадии.
4. Алгоритм проверки устройства: пошаговое руководство
4.1. Первичная самостоятельная диагностика (до обращения к эксперту)
Данный этап не заменяет экспертное исследование, но позволяет оценить необходимость дальнейших действий.
Шаг 1. Проверьте список приложений с доступом к Accessibility Services. Перейдите в настройки устройства: «Настройки» → «Специальные возможности» → «Службы специальных возможностей» (путь может незначительно отличаться в зависимости от модели). Если в списке есть незнакомое приложение с включённым доступом — это серьёзный повод для беспокойства. Особенно если приложение маскируется под «оптимизатор», «ускоритель» или «системный сервис».
Шаг 2. Проверьте приложения с разрешением на отображение поверх других окон. «Настройки» → «Приложения» → «Специальный доступ» → «Поверх других приложений». Незнакомые приложения в этом списке могут быть связаны с overlay-атаками.
Шаг 3. Проверьте список администраторов устройства. «Настройки» → «Безопасность» → «Администраторы устройства». Если в списке есть приложение, которое вы не устанавливали или не помните, — это тревожный сигнал.
Шаг 4. Обратите внимание на косвенные признаки. Быстрый разряд аккумулятора, перегрев в простое, повышенный расход мобильного трафика в ночное время, спонтанные перезагрузки, странные SMS или уведомления, которых вы не ожидали.
Шаг 5. Проверьте кредитную историю. Запросите отчёт в БКИ (дважды в год это можно сделать бесплатно). Наличие кредитов или заявок, которые вы не оформляли, — прямое указание на компрометацию персональных данных.
Важное предупреждение. Если вы обнаружили что-то подозрительное, не удаляйте приложение и не выполняйте сброс до заводских настроек до консультации с экспертом. Удаление вредоносного ПО уничтожает цифровые следы, которые могут быть критичны для установления способа хищения и причастных лиц, а также для возврата средств через банк или суд.
4.2. Действия при подтверждённом или предполагаемом хищении
Шаг 1. Изолируйте устройство от сетей. Включите авиарежим. Это предотвращает дальнейшую передачу данных и команд от сервера злоумышленников.
Шаг 2. Зафиксируйте факт хищения в банке. Подайте заявление о несогласии с операцией, запросите выписку. Чем раньше банк уведомлён, тем выше вероятность приостановки вывода средств.
Шаг 3. Обратитесь в правоохранительные органы. Заявление о хищении подаётся в полицию. Если сумма значительна или речь идёт о кредитном мошенничестве, материалы проверки могут стать основанием для назначения судебной экспертизы.
Шаг 4. Уведомьте кредитные организации. Если есть основания полагать, что персональные данные или коды подтверждения могли быть использованы для оформления кредитов, запросите кредитную историю и уведомьте банки о компрометации.
Шаг 5. Обратитесь за экспертным исследованием. Уровень услуги определяется ситуацией (см. раздел 5). Для претензии банку достаточно краткой справки; для судебной перспективы необходимо развёрнутое заключение.
4.3. Действия для предприятий: организационный аспект
При инциденте с устройством сотрудника, имеющего доступ к ДБО:
- Немедленно изолируйте устройство от корпоративных сетей.
- Зафиксируйте состояние устройства до любых действий по «очистке».
- Назначьте ответственное лицо, координирующее взаимодействие с экспертами, банком и правоохранительными органами.
- Проведите проверку всех устройств, использовавшихся для доступа к финансовым системам, на предмет аналогичной компрометации.
Профилактические меры:
- Политика запрета установки приложений из неизвестных источников на корпоративные устройства, используемые для ДБО.
- Регулярный аудит устройств сотрудников, имеющих доступ к финансовым системам, — не реже раза в квартал.
- Использование MDM-решений (Mobile Device Management) для контроля за установкой приложений и разрешениями.
- Обучение сотрудников распознаванию фишинговых сообщений и пониманию рисков боковой загрузки приложений.
5. Градация экспертных услуг: содержание, стоимость, процессуальное значение
Практика показывает, что потребности заказчиков различаются. Одним достаточно понять, «чист» ли телефон; другим необходим документ для суда. Ниже приведена градация услуг с ориентировочными ценами.
5.1. Предварительный анализ — 5 000 рублей
Содержание. Визуальный осмотр устройства; проверка установленных приложений и выданных разрешений (Accessibility Services, отображение поверх других окон, доступ к SMS); анализ списка администраторов устройства; проверка наличия подозрительных профилей конфигурации (для iOS); базовая проверка системных настроек на предмет аномалий.
Результат. Устное или письменное (в свободной форме) заключение о наличии или отсутствии признаков компрометации. Не является процессуальным документом.
Кому подходит. Физическим лицам, заметившим необычную активность устройства и желающим оценить необходимость дальнейших действий. Предприятиям — для быстрой проверки устройства сотрудника после инцидента.
Ограничения. Не может использоваться как доказательство в суде. Не выявляет предустановленные бэкдоры и некоторые трояны с динамической загрузкой.
5.2. Краткая справка по результатам исследования — 15 000 рублей
Содержание. Документ, фиксирующий результаты проверки: перечень обнаруженных подозрительных объектов (приложений, разрешений, профилей), описание выявленных аномалий, предварительная атрибуция вредоносного ПО (по возможности). Справка содержит подпись исполнителя.
Результат. Письменный документ с описательной частью. Может использоваться для внутреннего документооборота, обращения в банк с заявлением о перехвате средств или для предварительной оценки перспектив судебного разбирательства.
Кому подходит. Физическим лицам, готовящим претензию банку; предприятиям — для фиксации факта инцидента во внутренних документах.
5.3. Развёрнутое заключение — 25 000 рублей
Содержание. Полноценное исследование с описанием методики, перечнем использованных инструментов, анализом системных журналов, сетевой активности (при наличии технической возможности), восстановлением удалённых артефактов в пределах доступного. Заключение оформляется с учётом требований, предъявляемых к экспертным документам.
Результат. Документ, содержащий исследовательскую часть, выводы и подпись эксперта. Может быть представлен в суд общей юрисдикции или арбитражный суд как письменное доказательство.
Кому подходит. Физическим лицам и организациям, планирующим судебное разбирательство с банком или иным лицом, ответственным за утечку, но пока без назначения судебной экспертизы.
Ориентир по рынку. Полные криминалистические исследования с анализом памяти и трафика на рынке оцениваются в диапазоне от 30 000 до 50 000 рублей для базового уровня. Предлагаемая цена в 25 000 рублей позиционируется как доступный вариант для ситуаций, когда полная судебная экспертиза пока нецелесообразна.
5.4. Экспертиза по запросу суда или следствия — от 50 000 рублей
Содержание. Заключение эксперта, оформленное в соответствии с процессуальными требованиями, для использования в уголовном или гражданском процессе по факту хищения денежных средств. Включает создание образа памяти устройства (при технической возможности), низкоуровневый анализ, поиск скрытых процессов, анализ подключений к командным серверам (C&C), восстановление удалённых журналов и файлов, подготовку документа, отвечающего требованиям, предъявляемым к заключениям судебной экспертизы.
Результат. Заключение эксперта, обладающее повышенной доказательственной силой. Эксперт предупреждается об ответственности за дачу заведомо ложного заключения.
Кому подходит. Потерпевшим по уголовным делам о мошенничестве, истцам по гражданским искам к банкам, организациям, инициирующим служебные расследования с перспективой передачи материалов в правоохранительные органы.
Ориентир по рынку. Полная криминалистическая экспертиза с низкоуровневым анализом прошивки и подготовкой отчёта для суда оценивается в диапазоне 40 000–150 000 рублей в зависимости от сложности. Стоимость от 50 000 рублей является нижней границей этого диапазона и зависит от сложности устройства и объёма исследования.
6. Профилактика: организационные и технические меры
6.1. Для физических лиц
Установка приложений только из официальных магазинов (Google Play, App Store, RuStore). Боковая загрузка APK — основной канал распространения банковских троянов. Если приложение предлагают установить по ссылке из SMS или мессенджера — это почти наверняка вредоносное ПО.
Регулярная проверка разрешений Accessibility Services. Если в списке есть незнакомое приложение с доступом к специальным возможностям — это красный флаг.
Отказ от перехода по ссылкам из SMS и мессенджеров, обещающих «обновление банковского приложения», «фото» или «выплату».
Проверка устройства после покупки с рук или через неофициальный маркетплейс. Предустановленные бэкдоры выявляются только специализированными средствами.
Использование отдельного устройства для подтверждения банковских операций, если суммы на счетах значительны. Телефон, на котором установлены десятки приложений из разных источников, не следует использовать как единственный фактор подтверждения финансовых операций.
Регулярная проверка кредитной истории — не реже раза в год, а при подозрении на компрометацию — немедленно.
6.2. Для предприятий
Политика запрета установки приложений из неизвестных источников на корпоративные устройства, используемые для ДБО. Техническая реализация — через MDM-решения.
Регулярный аудит устройств сотрудников, имеющих доступ к финансовым системам. Проверка разрешений Accessibility Services и списка установленных приложений — не реже раза в квартал.
При инциденте — немедленная фиксация состояния устройства до любых действий по «очистке».
Обучение сотрудников распознаванию фишинговых сообщений и пониманию рисков боковой загрузки приложений.
Закупка устройств только у авторизованных продавцов с последующей проверкой устройств, используемых для доступа к финансовым системам.
7. Заключение
Банковский троян на смартфоне — не абстрактная угроза из новостных сводок, а работающий инструмент хищения. Статистика последних лет демонстрирует устойчивый рост: по данным Банка России, потери от действий с использованием вредоносного ПО наступают вдвое чаще, чем от телефонных звонков. Общий объём похищенных у россиян средств за 2025 год оценивается в 280–290 млрд рублей.
В отличие от программ бытовой слежки, ущерб здесь измеряется списанными со счетов суммами, оформленными кредитами и аннулированными кредитными историями. Своевременное экспертное исследование устройства позволяет не только установить факт компрометации, но и создать доказательную базу для возврата средств — через банк, суд или следственные органы.
Задавайте любые вопросы
[dwqa-submit-question-form]