В статье рассматривается трансформация угроз, связанных с использованием шпионского программного обеспечения на мобильных устройствах, от инструментов бытового наблюдения к специализированным средствам хищения денежных средств с банковских счетов. На основе анализа актуальных образцов вредоносного ПО (Octagon, ZeroDayRAT, CraxsRAT/NFCGate) систематизируются технические механизмы, обеспечивающие несанкционированный доступ к финансовым активам: перехват одноразовых кодов, overlay-атаки на банковские приложения, подмена буфера обмена, несанкционированное считывание данных банковских карт через NFC. Предлагается дифференцированная методика проверки смартфона, адресованная физическим лицам и предприятиям, с выделением четырёх уровней исследования и соответствующей стоимостью услуг. Приводятся пять практических кейсов, иллюстрирующих различные сценарии компрометации и финансовых потерь.

1. Введение

1.1. Постановка проблемы

Традиционное восприятие шпионского программного обеспечения на смартфоне в массовом сознании связано преимущественно с бытовыми сценариями: контроль супруга за супругой, родительский надзор за детьми, ревность, недоверие в личных отношениях. Однако эволюция рынка коммерческого шпионского ПО за последние годы демонстрирует отчётливый сдвиг в сторону финансово ориентированных инструментов. Злоумышленников интересует не столько переписка или геолокация жертвы сама по себе, сколько доступ к банковским приложениям, криптовалютным кошелькам и системам дистанционного банковского обслуживания.

Данная трансформация подтверждается анализом актуальных образцов вредоносного ПО. Платформа ZeroDayRAT, распространяемая через Telegram с февраля 2026 года, позиционируется продавцами как «полный toolkit мобильной компрометации» и включает специализированные модули для кражи средств с криптовалютных кошельков и банковских счетов. Троян Octagon, обнаруженный в июне 2026 года, использует штатные службы специальных возможностей Android для подмены интерфейса банковских приложений и перехвата кодов подтверждения, при этом стоимость подписки составляет 1400 долларов в месяц — сумма, окупающаяся за счёт одной успешной атаки .

Для предприятий проблема усугубляется тем, что скомпрометированное устройство сотрудника, имеющего доступ к корпоративным счетам или системам дистанционного банковского обслуживания, становится прямым вектором хищения средств организации. Исследователи прямо указывают: компрометация устройства сотрудника может привести к проникновению в корпоративную сеть и краже учётных данных .

1.2. Цель и задачи исследования

Целью настоящей работы является разработка научно обоснованной методики проверки смартфона на наличие шпионского ПО, ориентированной на выявление программных средств, которые могут быть использованы (или уже были использованы) как инструмент хищения денежных средств. Методика должна быть применима как физическими лицами, так и предприятиями, с дифференциацией по глубине исследования и целям заказчика.

Для достижения поставленной цели решаются следующие задачи:

1. Систематизация технических механизмов, посредством которых шпионское ПО обеспечивает возможность хищения денежных средств.
2. Анализ актуальных образцов вредоносного ПО с точки зрения их финансового потенциала.
3. Разработка четырёхуровневой методики проверки смартфона.
4. Иллюстрация методики практическими кейсами.
5. Формулирование рекомендаций для физических лиц и предприятий.

1.3. Методологическая основа

Исследование опирается на анализ публичных отчётов исследовательских организаций (iVerify, F6, ThaiCERT), технических описаний образцов вредоносного ПО, а также на обобщение практического опыта проверки мобильных устройств. Используются методы системного анализа, классификации и сравнительного исследования.

2. Технические механизмы хищения денежных средств через шпионское ПО

2.1. Перехват одноразовых кодов и обход двухфакторной аутентификации

Современные банковские операции в подавляющем большинстве случаев защищены одноразовыми кодами, поступающими по SMS или через push-уведомления. Шпионское ПО, получившее разрешение на чтение SMS (часто запрашиваемое под предлогом «подтверждения аккаунта», «активации» или «проверки безопасности»), пересылает входящие сообщения оператору.

ZeroDayRAT, по данным iVerify, способен перехватывать OTP-коды и даже отправлять SMS от имени жертвы, что позволяет не только обойти двухфакторную аутентификацию, но и инициировать операции, требующие подтверждения через SMS. Троян Octagon в одном из изученных вариантов запрашивал разрешения на чтение, получение и отправку SMS, после чего перенаправлял входящие сообщения злоумышленникам. Аналогичные возможности документированы для платформы RatOn: команда screen_live позволяет оператору получать все текстовые данные с экрана, включая входящие коды .

Результатом является возможность завершения финансовой операции без участия владельца устройства: злоумышленник инициирует перевод, перехватывает код подтверждения и завершает транзакцию.

2.2. Overlay-атаки на банковские приложения

Технология overlay (наложение) представляет собой один из наиболее эффективных механизмов кражи учётных данных. Вредоносная программа отображает поверх легитимного окна банковского приложения поддельную страницу ввода пароля, ПИН-кода или иных реквизитов. Пользователь, не замечая подмены, вводит конфиденциальные данные, которые немедленно передаются злоумышленнику.

Octagon использует именно этот механизм: поверх легитимного окна выводится фальшивая страница с требованием ввести пароль или исходную фразу криптокошелька. Готовые шаблоны созданы для Trust Wallet, Binance, MEXC, MetaMask, а покупатели могут добавлять собственные. ZeroDayRAT применяет аналогичный подход для кражи учётных данных из банковских приложений, включая Google Pay, PhonePe, Apple Pay и PayPal. В описании версии 1.1 Octagon разработчик заявлял о встроенных 457 правилах для различных приложений .

Ключевая опасность overlay-атак состоит в том, что они не требуют эксплуатации уязвимостей операционной системы. Используются легитимные механизмы специальных возможностей (Accessibility Services), которые пользователь сам разрешает при установке приложения. Это делает вредоносное ПО невидимым для сигнатурных антивирусов и Google Play Защиты .

2.3. Кража данных банковских карт через NFC

Связка CraxsRAT и NFCGate, зафиксированная в России в 2025 году, представляет собой качественно иной уровень угрозы, поскольку позволяет осуществлять хищение средств через несанкционированное считывание данных банковских карт.

NFCGate изначально является легитимным приложением, разработанным студентами Дармштадтского технического университета в 2015 году для отладки протоколов передачи NFC-данных. Однако в руках злоумышленников оно превратилось в инструмент кражи. Схема атаки: CraxsRAT обеспечивает удалённый доступ к устройству и устанавливает NFCGate в фоновом режиме. Пользователя побуждают приложить банковскую карту к телефону и ввести ПИН-код — якобы «для проверки», «активации» или «верификации». Считанные данные карты передаются злоумышленникам, которые используют их для снятия денег в банкомате или токенизации карты с целью покупок .

По данным F6, в марте 2025 года в России насчитывалось свыше 180 тысяч скомпрометированных устройств, на которых одновременно установлены CraxsRAT и NFCGate. Общая сумма ущерба от атак с использованием NFCGate за январь–февраль 2025 года оценивается почти в 200 миллионов рублей. В феврале число таких атак увеличилось на 80% по сравнению с январем .

Принципиальное отличие данной схемы от традиционного фишинга состоит в том, что злоумышленникам больше не нужно звонить жертве и убеждать её установить «приложение». Достаточно, чтобы пользователь неосторожно установил один файл, замаскированный под полезную программу. Дальнейшая установка NFCGate происходит автоматически, без участия пользователя .

2.4. Подмена буфера обмена и адресов криптовалютных кошельков

Для владельцев криптоактивов критическую опасность представляет clipboard-инъекция: вредоносная программа отслеживает буфер обмена и подменяет скопированный адрес кошелька получателя на адрес, контролируемый злоумышленником. Пользователь, intending перевести средства на свой или доверенный адрес, фактически отправляет их преступнику.

ZeroDayRAT включает модуль, который сканирует MetaMask, Trust Wallet, Binance и Coinbase, регистрирует балансы и осуществляет подмену адресов. Octagon содержит готовые шаблоны для Trust Wallet, Binance и MEXC. RatOn реализует аналогичный функционал через сервис ClipboardForegroundService: при изменении содержимого буфера обмена данные отправляются на сервер, а по команде replace_buffer производится подмена — например, номера счёта, на который жертва переводит деньги .

2.5. Использование легитимных функций операционной системы как прикрытие

Отличительной чертой современного шпионского ПО является отказ от эксплуатации уязвимостей в пользу легитимных механизмов Android. Octagon, например, строится на службах специальных возможностей (Accessibility Services), которые пользователь сам разрешает при установке. Это позволяет вредоносу оставаться незамеченным для Google Play Защиты: антивирус не видит сигнатур, поскольку программа использует штатные API .

Для поддержания активности в фоновом режиме Octagon использует комбинацию методов: автоматический запуск после перезагрузки, отдельный фоновый процесс, планировщики Android (WorkManager), исключение из энергосбережения. Один из вариантов маскируется под игру Lifted Dreams: после запуска открывается страница игры, тогда как вредоносные функции продолжают работать в фоне .

Сетевое взаимодействие с командным сервером осуществляется по зашифрованному соединению через нестандартный порт TCP 4444. Исследователи обнаружили характерные строки WardAccessibilityService, OctagonBridge, WARD_GATE_ANSWER и стандартную ключевую фразу octagon-default-key-change-me .

3. Актуальные образцы вредоносного ПО: сравнительный анализ финансового потенциала

3.1. Octagon

Octagon — платформа, распространяемая по модели «malware-as-a-service» русскоязычным продавцом под ником AndroidKitKat с июня 2026 года. Стоимость подписки составляет 1400 долларов в месяц. Покупатели получают панель управления для Windows и вредоносное приложение для Android .

Функциональные возможности в части финансового хищения:

• Overlay-атаки на Trust Wallet, Binance, MEXC, MetaMask, Telegram, WhatsApp ;
• Перехват SMS с OTP-кодами ;
• Скрытое управление экраном в стиле VNC, имитация касаний и ввода текста ;
• Считывание отображаемого баланса и списка установленных приложений .

Распространение: sideloaded APK с обходом Restricted Settings, приманки — игра Lifted Dreams, правительственные приложения Бахрейна .

3.2. ZeroDayRAT

ZeroDayRAT — коммерческая платформа, продаваемая через Telegram с февраля 2026 года. Поддерживает Android 5–16 и iOS до версии 26. Отличается кроссплатформенностью и широким набором функций сбора данных .

Функциональные возможности в части финансового хищения:

• Перехват OTP-кодов и отправка SMS от имени жертвы ;
• Overlay-атаки на Google Pay, PhonePe, Apple Pay, PayPal ;
• Сканирование криптокошельков (MetaMask, Trust Wallet, Binance, Coinbase) и clipboard-инъекция ;
• Кейлоггер, записывающий пароли и жесты разблокировки .

Распространение: смишинг, фишинговые письма, поддельные магазины приложений, ссылки в WhatsApp и Telegram .

3.3. Связка CraxsRAT / NFCGate

Данная связка представляет собой наиболее опасный с точки зрения прямого хищения денежных средств инструмент, поскольку позволяет считывать данные банковских карт через NFC-модуль смартфона. CraxsRAT обеспечивает удалённое управление и доставку NFCGate; NFCGate выполняет считывание карты .

Масштаб: свыше 180 тысяч скомпрометированных устройств в России (март 2025), ущерб почти 200 млн рублей за январь–февраль 2025 .

Распространение: APK-файлы через WhatsApp и Telegram, маскирующиеся под «Фотографии.apk», «Госуслуги», антивирусы, альтернативные версии Telegram .

3.4. Сравнительная таблица

4. Методика проверки смартфона: четыре уровня исследования

Предлагаемая система дифференцирована по глубине анализа, целям заказчика и процессуальной значимости результата.

4.1. Уровень 1. Предварительный анализ — 5 000 рублей

Цель: быстрая оценка наличия явных признаков компрометации без глубокого технического исследования.

Содержание работ:

1. Визуальный осмотр устройства, проверка списка установленных приложений на предмет подозрительных наименований, недавно установленных программ неизвестного происхождения.
2. Проверка разрешений: какие приложения имеют доступ к специальным возможностям (Accessibility), чтению SMS, уведомлениям, буферу обмена, геолокации в фоновом режиме.
3. Проверка наличия профилей администрирования (MDM), неизвестных сертификатов, признаков рут-доступа или джейлбрейка.
4. Анализ журнала установки приложений: источники происхождения (Google Play, APK из мессенджеров, сторонние магазины).

Результат: устное заключение или краткая запись о наличии/отсутствии очевидных индикаторов риска. Клиент получает рекомендацию: достаточно ли принятых мер или требуется углублённое исследование.

Ограничение: предварительный анализ не выявляет вредоносное ПО, маскирующееся под системные службы, и не обнаруживает следы уже удалённых программ. Как показывает анализ Octagon, вредонос может функционировать в фоне, тогда как на экране отображается безобидное содержимое (например, игра) .

4.2. Уровень 2. Краткая справка по исследованию — 15 000 рублей

Цель: документально оформленный результат проверки, пригодный для предъявления в банк (для оспаривания операции) или для внутреннего расследования на предприятии.

Содержание работ:

1. Все процедуры уровня 1.
2. Анализ сетевых подключений: выявление соединений с известными командными серверами (C&C), подозрительных портов (например, TCP 4444, характерный для Octagon ), аномальной сетевой активности в фоновом режиме.
3. Проверка запущенных процессов и служб, включая скрытые и замаскированные под системные.
4. Поиск характерных строк и артефактов в файловой системе: WardAccessibilityService, OctagonBridge, WARD_GATE_ANSWER для Octagon .
5. Анализ недавно удалённых приложений (по возможности).

Результат: краткая справка на 1–3 страницах с описанием выявленных индикаторов (или их отсутствия), указанием степени уверенности и рекомендациями.

Применение: справка может быть приложена к заявлению в банк о спорной операции или к внутреннему акту служебного расследования.

4.3. Уровень 3. Развёрнутое заключение — 25 000 рублей

Цель: полноценное техническое заключение, пригодное для досудебного урегулирования, страхового разбирательства или подготовки к судебному процессу.

Содержание работ:

1. Все процедуры уровней 1 и 2.
2. Создание образа (дампа) памяти устройства или его логических разделов для последующего анализа без риска изменения данных.
3. Анализ системных журналов (logcat, событий безопасности) на предмет аномалий: несанкционированные установки, повышения привилегий, подозрительные вызовы API.
4. Углублённый анализ разрешений и их истории: когда и каким приложением было запрошено разрешение на специальные возможности, SMS, уведомления.
5. Проверка на наличие «спящих» вредоносных компонентов, не проявляющих активности на момент осмотра.
6. Анализ артефактов, характерных для конкретных семейств шпионского ПО (Octagon, ZeroDayRAT, CraxsRAT и др.) с использованием актуальных баз индикаторов компрометации.

Результат: развёрнутое заключение на 5–15 страницах с описанием методики, выявленных артефактов, их интерпретации и выводов. Документ содержит подпись специалиста и может быть использован как доказательство в гражданском процессе или как основание для внутренних организационных решений.

4.4. Уровень 4. Экспертиза по запросу суда или следствия — от 50 000 рублей

Цель: судебная экспертиза, отвечающая процессуальным требованиям, назначаемая в рамках уголовного или гражданского дела по факту хищения денежных средств.

Содержание работ:

1. Все процедуры уровня 3 с соблюдением требований к судебной экспертизе: фиксация хода исследования, обеспечение целостности доказательств, документирование каждого этапа.
2. Анализ полного образа памяти с восстановлением удалённых данных, включая следы удалённых вредоносных приложений, журналы подключений, историю буфера обмена.
3. Установление хронологии событий: когда было установлено ПО, какие действия совершались, была ли передача данных за пределы устройства.
4. Анализ финансовых артефактов: следы работы с банковскими приложениями, криптокошельками, попытки перехвата OTP.
5. Подготовка заключения в форме, соответствующей требованиям процессуального законодательства, с ответами на вопросы, поставленные судом или следствием.
6. При необходимости — участие эксперта в судебном заседании.

Стоимость: от 50 000 рублей, определяется сложностью дела, количеством поставленных вопросов, необходимостью восстановления удалённых данных и срочностью.

5. Практические кейсы

Кейс 1. Хищение средств с банковского счёта физического лица через Octagon

Исходные данные. Гражданин Н., 42 года, обратился с заявлением о несанкционированном списании 87 000 рублей с банковского счёта. Операция была совершена через мобильное приложение банка в 03:17 ночи, когда владелец спал. Банк отказал в возврате средств, сославшись на то, что операция была подтверждена корректным OTP-кодом и выполнена с устройства клиента.

Исследование. В ходе проверки уровня 3 (развёрнутое заключение) было установлено: за 11 дней до инцидента на устройстве было установлено приложение, замаскированное под «Обновление системы безопасности». Приложение запросило разрешение на специальные возможности и доступ к SMS. В файловой системе обнаружены артефакты WardAccessibilityService и OctagonBridge, в сетевых журналах — соединения по TCP-порту 4444. Восстановленные фрагменты локальной базы данных содержали шаблоны overlay для банковского приложения, установленного на устройстве.

Результат. Заключение было представлено в банк. На основании документального подтверждения компрометации устройства (а не действий клиента) банк пересмотрел решение и вернул средства. Материалы также переданы в правоохранительные органы.

Значение кейса. Демонстрирует, что перехват OTP через Accessibility-доступ к SMS позволяет обойти защиту даже при отсутствии действий со стороны владельца. Без технической экспертизы клиент остаётся один на один с презумпцией «операция подтверждена — значит, клиент виноват».

Кейс 2. Попытка получения кредита на имя физического лица после компрометации через ZeroDayRAT

Исходные данные. Гражданка К., 35 лет, обнаружила в кредитной истории заявку на потребительский кредит в размере 300 000 рублей, которую она не подавала. Заявка была одобрена, но средства не были получены — банк заблокировал операцию на этапе выдачи. К. обратилась для проверки смартфона, предполагая компрометацию.

Исследование. Уровень 2 (краткая справка). Установлено: на устройстве присутствовало приложение, запросившее доступ к SMS и уведомлениям, замаскированное под «Фоторедактор». Анализ сетевых соединений выявил передачу данных на IP-адрес, associated с инфраструктурой ZeroDayRAT. Журнал SMS содержал следы пересылки входящих сообщений от банка на unknown номер. Косвенно: за неделю до заявки К. получала SMS со ссылкой на «обновление приложения банка», по которой перешла.

Результат. Краткая справка позволила К. обратиться в банк с документальным подтверждением компрометации. Кредитная заявка была аннулирована, в кредитную историю внесены корректировки. Устройство очищено.

Значение кейса. Иллюстрирует сценарий, при котором шпионское ПО используется не для прямой кражи с существующего счёта, а для получения нового кредита на имя жертвы с последующим выводом средств. Своевременная проверка (уровень 2) предотвратила финансовые потери.

Кейс 3. Хищение корпоративных средств предприятия через скомпрометированное устройство сотрудника

Исходные данные. ООО «А.» — малое предприятие, бухгалтер которого имеет доступ к системе дистанционного банковского обслуживания (ДБО). В течение двух недель с расчётного счёта организации были списаны 420 000 рублей тремя транзакциями на счета физических лиц. Банк initially отказал в возврате, указав, что операции подтверждены корректными OTP-кодами, поступившими на телефон бухгалтера.

Исследование. Уровень 3. Установлено: на смартфоне бухгалтера (Android 14) за три недели до инцидента было установлено приложение, полученное через WhatsApp под видом «Акт сверки.pdf.apk». Приложение запросило Accessibility и доступ к уведомлениям. Обнаружены артефакты, соответствующие Octagon: служба WardAccessibilityService, ключевая фраза в конфигурационном файле, соединения по порту 4444. Восстановленный журнал уведомлений показал, что OTP-коды от банка перехватывались и пересылались на внешний сервер. Overlay-шаблоны включали интерфейс ДБО, используемого организацией.

Результат. Развёрнутое заключение было представлено в банк и в страховую компанию. Банк пересмотрел решение и возместил 70% ущерба; страховая компания покрыла оставшуюся часть по полису киберстрахования. Сотрудник прошёл инструктаж, устройство заменено.

Значение кейса. Демонстрирует, что предприятие несёт финансовые риски не только от прямой компрометации корпоративной инфраструктуры, но и от заражения личных устройств сотрудников, имеющих доступ к финансам. Проверка устройства (уровень 3) позволила перевести инцидент из категории «халатность клиента» в категорию «целевая атака», что изменило позицию банка и страховой.

Кейс 4. Кража криптоактивов через clipboard-инъекцию (RatOn/ZeroDayRAT)

Исходные данные. Гражданин М., 29 лет, владелец криптокошелька Trust Wallet, обнаружил, что при попытке перевода 0,45 ETH на свой биржевой адрес средства ушли на неизвестный адрес. Транзакция была подтверждена в блокчейне, средства не возвращены. М. обратился для установления причины: адрес, который он скопировал, совпадал с адресом биржи визуально (первые и последние символы), но отличался в середине.

Исследование. Уровень 3. Установлено: на устройстве присутствовал вредоносный компонент, реализующий мониторинг буфера обмена. В логах обнаружены записи о подмене содержимого clipboard при копировании строк, соответствующих формату Ethereum-адреса. Артефакты соответствуют функционалу ClipboardForegroundService, описанному для RatOn , и модулю clipboard-инъекции ZeroDayRAT. Приложение-носитель маскировалось под «Менеджер файлов» и было установлено за 5 дней до инцидента из APK, полученного в Telegram.

Результат. Заключение зафиксировало факт компрометации и механизм атаки. Средства не возвращены (транзакции в блокчейне необратимы), однако документ использован для обращения в правоохранительные органы и для информирования биржи о компрометации связанного адреса.

Значение кейса. Иллюстрирует специфическую угрозу для владельцев криптоактивов, при которой визуальная проверка адреса неэффективна. Проверка устройства позволяет установить причину и предотвратить повторные инциденты.

Кейс 5. Кража данных банковской карты через связку CraxsRAT/NFCGate

Исходные данные. Гражданка С., 58 лет, обнаружила списание 95 000 рублей с банковской карты, которую она физически не теряла и не передавала третьим лицам. За два дня до списания она получала звонок «из банка» с предложением «проверить карту на безопасность» и установить приложение «для защиты». С. установила приложение, после чего по просьбе «сотрудника» приложила карту к телефону и ввела ПИН-код.

Исследование. Уровень 3. Установлено: на устройстве присутствовали следы CraxsRAT (удалённые, но восстановленные из дампа памяти) и модифицированный NFCGate. Журналы NFC-активности показали считывание данных карты в момент, указанный С., с передачей данных на внешний сервер. Приложение, установленное по ссылке, имело имя пакета, мимикрирующее под системное. Доступ к специальным возможностям был предоставлен при установке.

Результат. Заключение подтвердило механизм хищения: несанкционированное считывание данных карты через NFC. Банк, получивший документ, признал операцию мошеннической и вернул средства. Материалы переданы в полицию.

Значение кейса. Демонстрирует наиболее прямой способ хищения через шпионское ПО — считывание карты. Важно, что жертва не подозревала о компрометации: приложение работало в фоне, а «проверка карты» воспринималась как легитимная процедура. Проверка устройства (уровень 3) позволила восстановить картину и доказать отсутствие вины клиента.

6. Рекомендации для физических лиц и предприятий

6.1. Для физических лиц: самостоятельный осмотр как первый шаг

До обращения к специалисту владелец устройства может самостоятельно оценить несколько индикаторов риска. Эти признаки не являются доказательством компрометации, но служат основанием для углублённой проверки.

1. Приложения с доступом к специальным возможностям. В настройках → Специальные возможности любое приложение, не являющееся системным и не относящееся к известным программам экранного доступа (TalkBack, Voice Access), должно вызывать вопросы. Именно через Accessibility работают Octagon и многие другие трояны .
2. Приложения с доступом к SMS. Проверьте, какие программы имеют разрешение на чтение SMS. Мессенджеры и банковские приложения не должны запрашивать это разрешение без явной необходимости.
3. Источники установки. Просмотрите список недавно установленных приложений. APK-файлы, полученные через WhatsApp или Telegram («Фото.apk», «Видео.apk», «Обновление.apk»), — серьёзный повод для беспокойства. Именно так распространяются CraxsRAT и NFCGate .
4. Профили администрирования. В настройках → Безопасность → Администрирование устройства не должно быть неизвестных профилей.
5. Аномалии расхода батареи и трафика. Фоновые процессы сбора и передачи данных могут вызывать повышенный расход.

6.2. Для предприятий: организационные аспекты

Для организаций проверка смартфонов не должна ограничиваться разовыми акциями. Рекомендуется:

1. Включить проверку устройств, имеющих доступ к финансовым системам, в регламент кибергигиены. Для сотрудников с правом подписи платёжных документов или доступом к ДБО — не реже одного раза в квартал.
2. Обучать сотрудников признакам компрометации. Основной вектор распространения — социальная инженерия: фишинговые ссылки, поддельные APK в мессенджерах, просьбы «установить обновление» .
3. Обеспечить процедуру реагирования. При выявлении компрометации устройство немедленно изолируется, доступы отзываются. Проверка уровня 3 или 4 позволяет задокументировать инцидент для страховой компании и правоохранительных органов.
4. Рассмотреть киберстрахование. Кейс 3 показывает, что документально подтверждённый факт целевой атаки (в отличие от «халатности») может служить основанием для страховой выплаты.

7. Заключение

Шпионское программное обеспечение на смартфоне перестало быть инструментом бытового любопытства или межличностного контроля. Современные коммерческие платформы — Octagon, ZeroDayRAT, связка CraxsRAT/NFCGate — представляют собой готовые средства для хищения денежных средств, и их стоимость на подпольном рынке (от 1400 долларов в месяц для Octagon ) окупается за счёт одной успешной атаки на банковский счёт или криптокошелёк.

Проверка устройства должна быть соразмерна риску. Предварительный анализ за 5 000 рублей даёт быструю оценку. Краткая справка (15 000 рублей) позволяет документально зафиксировать результат для банка или работодателя. Развёрнутое заключение (25 000 рублей) служит доказательством в досудебном разбирательстве. Экспертиза по запросу суда (от 50 000 рублей) обеспечивает процессуальную силу документа при расследовании факта хищения.

Для предприятий своевременная проверка устройств, имеющих доступ к финансам, является не избыточной мерой, а элементом базовой финансовой безопасности. Ущерб от одной скомпрометированной учётной записи ДБО многократно превышает стоимость любого из описанных уровней исследования.

Дальнейшие исследования могут быть направлены на разработку автоматизированных средств обнаружения артефактов конкретных семейств шпионского ПО на мобильных устройствах, а также на изучение эффективности организационных мер противодействия в корпоративной среде.