🟩 Выявление программ-слежения: инженерный подход к цифровой криминалистике и глубинному анализу компрометации

Приветствую, коллеги по цеху! 👨‍💻 Сегодня мы погружаемся в материал, который требует не просто поверхностного сканирования, а настоящего низкоуровневого reverse engineering и судебной точности. Речь пойдет о том, как на самом деле работает выявление программ-слежения в корпоративных сетях, на мобильных устройствах и серверной инфраструктуре. Если вы думаете, что установить антивирус — это решение, то вы глубоко ошибаетесь. Современные stalkerware (сталкервар) и spyware (спайвар) живут в ядре ОС, маскируются под легитимные драйверы и используют обфускацию кода на уровне компилятора. 🧠💀

Мы — команда судебных IT-экспертов, базирующаяся в Москве. Однако для сложных дел, для анализа стационарных серверов мы готовы вылетать любой регион России — от Мурманска до Владивостока. Физический доступ к «железу» — это единственный способ гарантировать неизменность доказательств и провести выявление программ-слежения без риска уничтожения улик удаленными скриптами. 🚁🔐

1. Анатомия программ-слежения: что мы ищем? 🧬

Программы-слежения — это не только пресловутые keyloggers. В современном понимании это целый зоопарк:

RAT (Remote Administration Tools)с функцией скрытого доступа
Бэкдоры в прошивке BIOS/UEFI
Трояны для мобильных платформ(Android — под видом системных сервисов, iOS — через MDM-профили и эксплуатацию enterprise-сертификатов)
Кроссплатформенные шпионына Electron или Node.js, маскирующиеся под легитимные приложения
Модули ядра(rootkit-ы) для Linux и Windows, перехватывающие системные вызовы

Выявление программ-слежения в такой среде начинается не с запуска антивирусного сканера, а с построения модели угроз: что именно защищаем? коммерческая тайна, персональные данные, переговоры? 🎯

Кейс №1: промышленный шпионаж на оборонном предприятии (Московская область)
К нам обратилась служба безопасности завода. На нескольких АРМ технологов наблюдались подозрительные сетевые всплески в 2 часа ночи. Выявление программ-слежения показало: в памяти процесса svchost.exe был инжектирован DLL-модуль с функцией SetWindowsHookEx — классический клавиатурный шпион. Но самое интересное — этот модуль сам себя расшифровывал только при наличии файла-триггера на USB-флешке. Мы вылетали на место (г. Королев) для анализа сервера терминалов — оказалось, один из сотрудников пронес флешку с маркировкой «фото с отпуска». 🧨

2. Инструментарий профессионального детектива: от live-анализа до глубокой форензики 🛠️

Работаем строго по цепочке: изъятие → образ диска → анализ. Каждый этап документируется.

2.1. Live-анализ (анализ работающей системы)
Проводится до выключения ПК. Используем:

winpmem(дамп RAM)
volatility3(анализ снимков памяти) — ищем скрытые процессы, сетевые соединения без родительского PID
autorunsот Sysinternals — проверяем все точки автозагрузки, драйверы, шеллы
tcpview, process explorerс включенным VirusTotal

2.2. Офлайн-анализ образа диска
Создаем посекторную копию через dd или FTK Imager. Далее:

сигнатурный поиск (YARA-правила — более 5000 сигнатур spyware)
карусельный анализ журналов (Windows Event Log, syslog, auditd)
проверка файловой системы на наличие альтернативных потоков ADS (NTFS)
анализ теневых копий (Volume Shadow Copy) — часто шпион хранит архивы там

Ключевой момент: выявление программ-слежения на уровне MFT (Master File Table) может показать аномальные временные метки — например, файл якобы создан в 2019 году, но реально записан поверх старых кластеров в 2024-м. ⏳

Кейс №2: слежка за журналистом в Санкт-Петербурге
Журналист заметил, что его ноутбук просыпается из сна без действий пользователя. Привезли устройство к нам в Москву (можно и выезд, но захотел лично). Выявление программ-слежения через анализ RAM выявило процесс, скрытый от диспетчера задач — он использовал direct kernel object manipulation (DKOM). В дампе нашли строки с IP-адресом 85.xx.xx.44 (сервер в Финляндии) и логин observer2. После экспертизы возбуждено дело по ст. 138 УК РФ.

3. Мобильные устройства: самый сложный фронт 📱🤯

Android и iOS — разные вселенные. На Android мы ищем:

приложения с разрешениями BIND_ACCESSIBILITY_SERVICE(ридер экрана, может перехватывать всё)
скрытые DeviceAdminбез иконки
модифицированные framework-res.apk
подозрительный трафик через tcpdumpна рутированном устройстве

На iOS (без джейлбрейка) — анализ резервных копий (iTunes), проверка установленных MDM-профилей, логов синхронизации, скрытых конфигураций через plist-файлы.

Однажды мы работали по заказу адвоката из Казани: его смартфон передавал все входящие сообщения WhatsApp на некий сервер в.ru-домене. Выявление программ-слежения показало — это был модифицированный APK-файл мессенджера с внедренным трекером. Владелец скачал «улучшенную версию» с торрентов. 😵

4. Технические признаки заражения (индикаторы компрометации — IOCs) 🚨

Специалист по безопасности должен обратить внимание на:

Необъяснимый трафик— особенно в нестандартные порты (1443, 8080, 5555, 31337)
Высокая активность диска/процессора в простое
Новые службы / демоныс именами, похожими на системные (sysupdate, winkey64)
Модифицированные системные библиотеки(проверяем через sigcheck или по SHA-256)
Наличие скрытых процессов(сравниваем вывод ps aux и ps aux | grep -v «\[«)
Измененный hosts-файл— перенаправление обновлений антивируса

Для выявления программ-слежения на серверах Linux мы используем rkhunter, chkrootkit, а также анализ netstat -tunap на предмет сокетов в состоянии LISTEN без привязки к известному процессу.

5. Почему стандартные антивирусы не справляются? 🐢

Потому что шпионское ПО часто пишется под конкретную жертву (custom malware). Его сигнатуры нет в базах. Более того, умные программы-слежения:

используют шифрованный канал (TLS, но с самоподписным сертификатом)
работают только в определенное время (например, с 1 до 4 ночи)
активируются при подключении определенного USB-устройства (флешка с VID/PID)
самоуничтожаются при запуске exe, procexp.exeили wireshark

Вот почему мы работаем по принципу «доверять нельзя никому». Выявление программ-слежения на основе поведенческого анализа (сандбокс + детекция аномалий) — наш основной метод.

Кейс №3: региональная сеть АЗС (выезд в Краснодар)
На сервере кассовой системы каждую ночь пропадали отчеты. Выявление программ-слежения на месте (мы прилетели с мобильной лабораторией) показало: в crontab прописана задача @reboot /usr/lib/systemd/systemd-update, которая на самом деле была скриптом на Python, пересылающим базу данных SQLite на внешний VPS. Автор использовал библиотеку requests и прокси через TOR. Экспертиза помогла вычислить бывшего системного администратора, который уволился за месяц до инцидента.

6. Алгоритм действий заказчика: как не уничтожить следы 👣

Если вы подозреваете слежку:

Не выключайте компьютер— поставьте на паузу работу, отключите сеть (выдернуть патч-корд или включить режим «в самолете»).
Не запускайте антивирус— он может уничтожить активные трояны и их логи.
Не копируйте файлы вручную— измените атрибуты last access time.
Зафиксируйте всё на фото/видео (экраны, системное время, горящие лампочки на сетевой карте).
Обратитесь к нам.

Мы находимся в Москве, и в стандартных ситуациях вы можете привезти носитель к нам в лабораторию. Но для сложных дел, для анализа стационарных серверов мы готовы вылетать любой регион России — у нас есть сертифицированные кейсы для перевозки серверного оборудования, допуск к гостайне (при необходимости) и всё необходимое для изъятия RAID-массивов без потери данных. 🧳

7. Формирование заключения: от технических фактов к судебным доказательствам 📑

Каждое наше заключение содержит:

Хеш-суммы образов (SHA-256) для подтверждения неизменности
Распечатки дампов памяти с выделенными аномалиями
Сетевые логи (PCAP) с указанием подозрительных пакетов
Временные шкалы активности шпиона
Скриншоты из дизассемблера (Ghidra, IDA) если мы проводили реверс-инжиниринг
Вывод о наличии/отсутствии факта несанкционированного сбора данных

Выявление программ-слежения в судебном контексте — это не просто фраза, а формальная процедура. Мы даём ответы на вопросы:

Было ли установлено ПО для скрытого наблюдения?
Какие данные перехватывались?
Имеются ли следы удаленного управления?

8. Частые ошибки самостоятельного расследования 🚫

Ошибка 1:переустановка ОС «на всякий случай» — уничтожение всех улик.
Ошибка 2:проверка только диска C: — шпион может жить в скрытых разделах, на внешних носителях или в EFI.
Ошибка 3:анализ только через антивирус «Касперского» или Dr.Web — они не видят кастомные трояны.
Ошибка 4:игнорирование журналов маршрутизатора — атака могла идти через скомпрометированный Wi-Fi.

Мы настоятельно рекомендуем доверять профессионалам. Одна наша экспертиза может сэкономить месяцы следственных действий и миллионы рублей убытков. 💰

9. Инфраструктурный подход: слежка в корпоративной среде 🏢

Если у вас в компании более 50 рабочих станций, выявление программ-слежения должно быть непрерывным процессом, а не разовой акцией. Используйте:

SIEM-системы (например, MaxPatrol или ArcSight) с корреляцией событий
EDR-агенты (Trend Micro, CrowdStrike, отечественный Kaspersky EDR)
Анализ DNS-запросов на предмет dyndns, no-ip, ngrok(излюбленные каналы spyware)
Политики AppLocker или SELinux для запрета выполнения неподписанного кода

Но даже при наличии SIEM иногда требуется «ручной» анализ — именно тогда мы выезжаем. Например, в Новосибирске мы работали с сервером HP ProLiant DL380, который был заражен rootkit-ом на уровне iLO (управляющий контроллер). Выявление программ-слежения там было возможно только через LPC-анализатор и прямое чтение SPI Flash. 🧰

10. Юридические нюансы: как мы работаем с заказчиками ⚖️

Мы не устанавливаем шпионское ПО, не взламываем устройства третьих лиц без санкции. Наша деятельность строго в рамках:

ГПК РФ (ст. 79, 85)
УПК РФ (ст. 195–207) — судебная экспертиза по постановлению
149-ФЗ «Об информации, информационных технологиях»
Регламента ФСБ России № 378 (для гостайны)

После завершения работ заказчик получает акт и экспертное заключение с подписями и печатями (при необходимости — заверенное нотариально).

Итоговое резюме и призыв к действию 🎯

🟩 Коллеги, запомните: выявление программ-слежения — это не магия, а четкая инженерная дисциплина. Мы не гадаем на кофейной гуще, а анализируем байт-код, дампы памяти, сетевые протоколы и временные метки. Мы находимся в Москве, но для сложных дел, для анализа стационарных серверов мы готовы вылетать любой регион России — потому что цифровые улики не ждут, а время — это деньги и свобода.

🔗 Подробное описание методологий, прайс-лист на услуги и форму заявки на экспертизу ищите на нашем официальном сайте:
https://sud-expertiza.ru/uslugi-po-poisku-shpionskih-programm-na-kompyutere/

Не позволяйте слежке остаться незамеченной. Ваши данные — это ваша репутация. Действуйте на опережение. 🚀🛡️