Раздел 1.  Введение:  почему стандартных антивирусов недостаточно

В современном цифровом ландшафте угрозы приобрели высокотехнологичный и целенаправленный характер.  Шпионское программное обеспечение (spyware) внедряется не только через фишинговые ссылки, но и через аппаратные закладки, модифицированные прошивки, инжекты в легитимное ПО и даже через цепочки поставок (supply chain attacks).  В этих условиях простая проверка на шпионское программное обеспечение стандартными антивирусными сканерами даёт ложное чувство безопасности.

Реальная диагностика требует комбинации методов форензики, поведенческого анализа, реверс-инжиниринга и сетевого мониторинга.  В данной статье представлено систематизированное руководство для ИТ-директоров, специалистов по информационной безопасности и юристов, которым необходимо доказать факт шпионажа в суде или арбитраже.  Особое внимание уделено регламенту выездных работ  — наша лаборатория находится в Москве, но для анализа стационарных серверов и изолированных систем мы готовы вылетать в любой регион России.

Раздел 2.  Понятие шпионского ПО и его правовая квалификация

Шпионское ПО (spyware, stalkerware)  — это класс программ, предназначенных для скрытого сбора, агрегации и передачи информации с зараженного устройства.  Сложность проверки на шпионское программное обеспечение заключается в его маскировке:  современные образцы обфусцируют свой код, маскируются под системные процессы, используют легитимные каналы связи (HTTPS, DNS-over-HTTPS, Telegram Bot API), имеют механизмы самоуничтожения при обнаружении отладки или антивируса.

В российском правовом поле установка такого ПО без согласия пользователя подпадает под действие статей 137 (Нарушение неприкосновенности частной жизни), 138.1 (Незаконный оборот специальных технических средств), 183 (Незаконные получение и разглашение сведений, составляющих коммерческую тайну) и 272 (Неправомерный доступ к компьютерной информации) Уголовного кодекса РФ, а также ст.  10 Федерального закона № 149-ФЗ «Об информации, информационных технологиях и о защите информации».  Проверка на шпионское программное обеспечение становится критически важной для формирования доказательной базы в уголовных и гражданских процессах.

Раздел 3.  Таксономия шпионского ПО

Эффективная проверка на шпионское программное обеспечение невозможна без понимания архитектуры современных угроз.  Классификация может быть построена по нескольким признакам.

3.1.  Классификация по функциональному назначению:

• Кейлоггеры (Keyloggers):  Записывают все нажатия клавиш, содержимое буфера обмена, скриншоты экрана.  Подразделяются на аппаратные и программные.
• Трояны удаленного доступа (RAT):  Обеспечивают полный контроль над системой:  просмотр файлов, запуск программ, активацию веб-камеры и микрофона, кражу паролей из браузеров.
• Информационные сборщики (Data Stealers):  Специализируются на поиске и извлечении конкретных данных:  файлов по расширению, кэшей браузеров, данных из клиентов мессенджеров.
• Сетевые снифферы (Sniffers):  Перехватывают сетевые пакеты на зараженном хосте.
• Скриншотеры (Screen Capture):  Регулярно или по событию делают снимки экрана.

3.2.  Классификация по стелс-технологиям и устойчивости:

• User-Mode Rootkits:  Маскируют процессы, файлы, ключи реестра на уровне приложений.
• Kernel-Mode Rootkits:  Внедряются в ядро ОС, перехватывая системные вызовы.  Обнаружение требует анализа целостности ядра.
• Буткиты (Bootkits):  Заражают загрузочные секторы (MBR, UEFI) и активируются до загрузки ОС, являясь наиболее сложными для обнаружения стандартными средствами.
• Бесфайловое ПО (Fileless Malware):  Исполняется в памяти, используя легитимные процессы и скриптовые движки (PowerShell, WMI), не оставляя следов на диске.

Раздел 4.  Методология профессиональной диагностики

Процесс выявления шпионского ПО строится по принципу «от простого к сложному» и обязательно документируется на каждом шагу.

4.1.  Сбор и анализ метаданных системы

• Выгрузка списка автозагрузки (реестр Windows:  Run, RunOnce, RunServices; папка Startup; Task Scheduler; службы; драйверы).
• Получение списка запущенных процессов с полными путями, PID, хешами (SHA-256), цифровыми подписями.
• Дамп сетевых подключений (netstat -anob) и таблицы маршрутизации.
• Экспорт журналов событий:  Windows Event Log (Security, System, Application), syslog, audit.log.

Анализ метаданных включает проверку процессов без цифровой подписи или с поддельными сертификатами, а также выявление процессов с именами, мимикрирующими под системные (svch0st.exe, lsasss.exe, winlogon.exe из нестандартных путей).

4.2.  Форензика оперативной памяти

Многие современные импланты работают бесфайлово  — они загружаются прямо в память через уязвимости или легитимные средства администрирования (PowerShell, WMI, PsExec).  Такие угрозы невозможно обнаружить при сканировании диска, поэтому проверка на шпионское программное обеспечение обязательно включает RAM-форензик.

Инструменты:  Volatility Framework, Rekall, MemProcFS, FTK Imager (для дампа).

В ходе анализа проверяются инжектированные DLL в чужие процессы, скрытые потоки и аномальные таймеры, подозрительные сетевые соединения, а также руткиты, перехватывающие системные вызовы (SSDT, IDT).

4.3.  Анализ файловой системы

Выполняется только на образе диска, смонтированном через write-blocker (аппаратный или программный).  Никаких изменений оригинального носителя!

• Сверка хешей всех системных файлов с эталонной базой (от чистого образа той же версии ОС).
• Поиск файлов с атрибутами «скрытый», «системный» в пользовательских каталогах.
• Анализ временных меток (MAC-времена) на предмет аномалий:  файл с датой создания 2015 год, но с содержимым, ссылающимся на события 2024 года.
• Сканирование по YARA-правилам (база из 5000+ сигнатур для spyware).

4.4.  Анализ автозагрузки

Важнейший этап проверки на шпионское программное обеспечение  — исследование всех точек персистентности на Windows:  ключи реестра Run, RunOnce, службы; папки автозагрузки; планировщик задач (Scheduled Task); DLL-инжекция через AppInit_DLLs или DLL Search Order Hijacking (T1574.001).

4.5.  Сетевой форензик и анализ трафика

При наличии дампов трафика (PCAP) или логов прокси/DNS:

• Выявление регулярных heartbeat-запросов к C&C-серверам (например, каждые 60 секунд).
• Обнаружение DNS-туннелирования (доменные имена с длинными поддоменами, содержащими base64).
• Анализ TLS-сертификатов на предмет самоподписанных или необычных издателей.
• Выявление асимметричного трафика (мало входящего, много исходящего  — эксфильтрация).

4.6.  Поведенческий анализ в песочнице

Запуск подозрительных файлов в изолированной среде (Cuckoo Sandbox, CAPE, Any.Run) с записью всех системных вызовов, обращений к реестру, сетевой активности, изменений файловой системы.  Особенно эффективен против полиморфных и обфусцированных образцов.

Индикаторы заражения в динамике включают попытки доступа к $MFT, SAM, SECURITY, вызов SetWindowsHookEx (клавиатурный шпион), чтение буфера обмена (GetClipboardData), отправку данных на неизвестные IP (особенно в нестандартные порты:  5555, 6666, 31337), создание скрытых окон (с параметром WS_EX_TOOLWINDOW).

Раздел 5.  Аппаратно-программный комплекс экспертной лаборатории

Для качественного выполнения задач по проверке на шпионское программное обеспечение используется сертифицированное оборудование и лицензионное ПО:

Все работы проводятся в сертифицированной лаборатории с соблюдением требований к вещественным доказательствам.

Раздел 6.  Кейс №1:  производственное предприятие, кража технологий

Ситуация:  Крупный производитель промышленного оборудования (Московская область, головной офис  — Москва) обнаружил, что чертежи новой линейки станков оказались у конкурента.  Внутренняя ИБ-служба провела поверхностную проверку на шпионское программное обеспечение, но ничего не нашла.  Было принято решение о привлечении сторонних экспертов.

Постановка задачи:  Провести полную проверку на шпионское программное обеспечение на 35 рабочих станциях конструкторского отдела и 8 серверах с PDM-системой.

Ход работ:  Выездная группа создала образы дисков всех критичных машин с использованием write-blocker (время  — 14 часов).  Выполнен анализ оперативной памяти трёх серверов, которые нельзя было отключать  — использован live-дамп через FTK Imager.  Проведена глубокая сверка хешей системных файлов с эталонными образами.

Результат:  На одном из серверов обнаружен руткит уровня ядра (Kernel-mode spyware), маскирующийся под драйвер файловой системы.  Вредонос перехватывал обращения к файлам с расширениями.dwg,.sldprt,.stp и перед отправкой пользователю отправлял копии на внешний сервер.  Имплант работал 7 месяцев, за это время утекло более 500 чертежей.

Юридические последствия:  Экспертное заключение передано в арбитражный суд и следственные органы.  Установлен бывший сотрудник, который установил шпионскую программу за 3 дня до увольнения.  Предотвращены убытки в размере 90 млн рублей приостановкой передачи ещё не украденных чертежей.

Раздел 7.  Кейс №2:  финансовый троян и кража с банковского счета

Ситуация:  Индивидуальный предприниматель нажал на всплывающее окно с предложением обновить веб-обозреватель.  В течение трёх часов с его расчётного счёта списано более двух миллионов рублей.

Проведение проверки:  Проверка на шпионское программное обеспечение показала, что вредоносное ПО внедрилось в память браузера, подменило сертификаты безопасности и при каждом посещении сайта банка динамически подставляло поля для ввода одноразовых паролей.  Шпионская программа работала исключительно в оперативной памяти, используя технику бесфайлового сохранения.

Результат:  Проверка на шпионское программное обеспечение с использованием анализа оперативной памяти (RAM-форензик) позволила выявить инжектированный код, который не оставлял следов на жестком диске.  Это дало возможность доказать факт взлома и инициировать возврат денежных средств через систему страхования.

Раздел 8.  Кейс №3:  скрытая установка через EFI в медицинском центре

Ситуация:  В частной клинике пропали записи VIP-пациентов.  Стандартная проверка на шпионское программное обеспечение на дисках ничего не дала.

Проведение проверки:  Проверка на шпионское программное обеспечение на аппаратном уровне:  эксперты извлекли прошивку EFI через SPI-программатор.  В прошивке была обнаружена внедренная DLL, которая при загрузке ОС инжектировалась в процесс lsass.exe и перехватывала учетные записи врачей.

Результат:  Уникальный случай в российской практике, демонстрирующий необходимость комплексного подхода к проверке на шпионское программное обеспечение.

Раздел 9.  Кейс №4:  зараженная бухгалтерия (выезд в Нижний Новгород)

Ситуация:  Строительная компания обнаружила, что с сервера 1С регулярно утекают налоговые декларации до их официальной подачи.

Проведение проверки:  Эксперты вылетели на место, провели проверку на шпионское программное обеспечение на сервере (Windows Server 2019) и 6 бухгалтерских рабочих станциях.

Результат:  На одном ПК обнаружен загрузчик в автозагрузке userinit.exe, который подтягивал PowerShell-скрипт с IP 185.xxx.xx.12 (Германия).  Скрипт каждую ночь архивировал базы 1С и отправлял через WebDAV.  Заключение легло в основу уголовного дела о коммерческом шпионаже (ст.  183 УК РФ).

Раздел 10.  Кейс №5:  супружеское слежение через профиль управления мобильными устройствами

Ситуация:  Гражданка, находящаяся в процессе расторжения брака, обратилась с жалобами на аномальное поведение смартфона:  быстрый разряд аккумулятора, регулярное включение микрофона и камеры без ее участия.

Проведение проверки:  Проверка на шпионское программное обеспечение показала, что супруг не устанавливал отдельное приложение шпиона, а добавил смартфон в корпоративный профиль управления мобильными устройствами (MDM), созданный на подконтрольном ему сервере.  Через этот профиль были активированы функции сбора геолокации, записи окружения и снятия скриншотов.

Результат:  Проверка на шпионское программное обеспечение позволила задокументировать цепочку доказательств, использованную в судебном процессе по делу о нарушении тайны частной жизни (ст.  137 УК РФ).

Раздел 11.  Кейс №6:  массовая атака трояном LunaSpy

Ситуация:  В июне-июле 2025 года «Лаборатория Касперского» зафиксировала всплеск атак с использованием трояна LunaSpy, нацеленного на владельцев Android-устройств в России.  Было обнаружено более 3000 атак.

Механизм заражения:  Злоумышленники распространяют LunaSpy через мессенджеры под видом защитного решения для смартфона и финансовых сервисов.  Вредоносное ПО имитирует работу антивируса, показывая уведомления об обнаруженных киберугрозах, чтобы убедить пользователя предоставить необходимые разрешения.

Результат проверки на шпионское программное обеспечение:  LunaSpy способен записывать видео и звук, отслеживать геолокацию, записывать экран, следить за активностью в мессенджерах и браузерах, красть пароли, получать доступ к журналу звонков и списку контактов, читать SMS и отправлять собранные данные атакующим.  Также обнаружен код для кражи фотографий из галереи телефона.  Специалисты не исключают, что LunaSpy используется как вспомогательный инструмент для кражи денег пользователей.

Раздел 12.  Документы, необходимые для проведения экспертизы

Для проведения юридически значимой проверки на шпионское программное обеспечение необходимо предоставить:

• Письменное заявление (ходатайство) о проведении экспертизы.
• Само устройство (компьютер, ноутбук, смартфон, планшет) или его посекторный образ.
• Данные для доступа к устройству (пароли, PIN-коды, разблокировка биометрией)  — по возможности.
• Информация о подозрительных сообщениях, ссылках или приложениях (скриншоты, логи).
• Документы, подтверждающие факт финансового ущерба (выписки из банка, скриншоты списаний).
• Корреспонденция с подозреваемыми лицами (при наличии).
• Иные материалы, имеющие отношение к инциденту.

Раздел 13.  Признаки возможного заражения

При проверке на шпионское программное обеспечение специалисты обращают внимание на следующие индикаторы компрометации:

Раздел 14.  Почему обычный антивирус не имеет юридической силы

Проверка на шпионское программное обеспечение, выполненная антивирусным сканером, не может служить доказательством в суде по ряду причин:

Раздел 15.  Выездная экспертиза:  работа в любом регионе России

Наша основная лаборатория расположена в Москве, однако для сложных дел, анализа стационарных серверов, АСУ ТП, медицинских систем и изолированных сетей мы готовы вылетать в любой регион России:  от Калининграда до Владивостока.

Основания для выезда:

• Оборудование нельзя отключать (серверы 24/7, производственные линии, медицинское оборудование).
• Юридические ограничения на вывоз носителей (гостайна, коммерческая тайна, персональные данные).
• Требование следственных органов о проведении экспертизы на месте.
• Необходимость оперативной реакции при активной утечке данных.

Что входит в выездную экспертизу:

• Доставка портативной криминалистической станции (2-3 эксперта, 50+ кг оборудования).
• Создание образов дисков на месте без выноса носителей за пределы контролируемой зоны.
• Поэтапное клонирование RAID-массивов без остановки сервисов (горячее подключение через SAS-изолятор).
• Составление промежуточных актов с подписями сотрудников заказчика.

Раздел 16.  Заключение:  ваш надежный партнер в вопросах проверки на шпионское программное обеспечение

Проверка на шпионское программное обеспечение является критически важным инструментом для защиты от цифрового шпионажа, восстановления нарушенных прав и привлечения виновных к ответственности.  От качества организации и проведения проверки на шпионское программное обеспечение, точности анализа и объективности выводов напрямую зависит исход судебного разбирательства.

Наша экспертная организация  — НП «Федерация Судебных Экспертов»  — проводит судебные и досудебные проверки на шпионское программное обеспечение любой сложности.  Мы гарантируем высокую квалификацию экспертов, имеющих все необходимые дипломы и сертификаты, прозрачность процесса и оформление заключения, которое обладает юридической силой и будет принято судом как доказательство.  Проверка на шпионское программное обеспечение в нашей организации осуществляется с применением современного лабораторного оборудования и строгим соблюдением научной методологии.  Для сложных дел, для анализа стационарных серверов мы готовы выезжать в любой регион России  — от Калининграда до Владивостока.

Узнайте больше о наших услугах и возможностях на нашем информационном портале:  https://фсэ.рф.  Доверьте проведение проверки на шпионское программное обеспечение профессионалам.  🛡️