Как выяснить, стоит ли у вас на смартфоне шпионское ПО? Откуда оно берется и может ли обычный пользователь обезопасить себя

Специалисты «Лаборатории Касперского» опубликовали информацию, что программа-шпион FinSpy научилась «читать» обычные и секретные чаты пользователей даже в таких, казалось бы, защищенных мессенджерах, как Telegram, WhatsApp и Signal. Одновременно с этим компания Google признала, что ее специалисты прослушивают команды пользователей голосовому помощнику. Более того, часть этих данных попала в открытый доступ, после того как один из сотрудников компании нарушил правила конфиденциальности. Журналисты Daily Storm выяснили, можно ли понять, что за вашим телефоном следят, и что делать, если вы стали жертвой такой слежки. 

Итак, как понять, что за мной следят посредством моих гаджетов? 

Все эксперты, с которыми удалось пообщаться Daily Storm, сходятся во мнении: однозначно определить, что вы стали объектом слежки со стороны собственного гаджета, который заразился вредоносным софтом, может только специалист.

Однако есть ряд признаков, которые могут косвенно указать на то, что вы стали жертвой шпионского ПО. 

Вот только некоторые из них: 

·  ваш телефон неожиданно начал сам перезагружаться, иногда по несколько раз подряд;

·  мобильное устройство сильно греется;

·  неожиданно подскочил объем используемого гаджетом трафика; 

·  телефон без видимых причин стал быстро разряжаться.

Есть и совсем явные поводы задуматься: например, когда злоумышленники воруют ваши пароли и взламывают учетные записи в соцсетях или вам начинают приходить СМС-оповещения о том, что в ваш аккаунт пытались зайти с чужого IP из какой-нибудь далекой (или не очень) страны. 

«Шпионские программы, такие как FinSpy, разрабатываются с прицелом на то, чтобы их было очень сложно обнаружить. Чтобы понять, что устройство скомпрометировано, необходимо обладать специальными навыками: например, нужно суметь отследить, что гаджет соединяется с определенными адресами, которые не являются стандартными для операционных систем. 

Нужно смотреть, какие приложения непосредственно установлены в системе, какие файлы модифицированы и так далее. Есть специальные инструменты, по которым человек, который в этом разбирается, может понять, что устройство заражено. А обывателю, наверное, просто стоит установить антивирусное решение для мобильных устройств, что, в принципе, сейчас для телефона на операционной системе Android обязательно», — рассказал Daily Storm старший антивирусный эксперт «Лаборатории Касперского» Сергей Ложкин. 

Технический директор и основатель «Роскомсвободы» Станислав Шакиров пояснил, что факт наличия на устройстве шпионского ПО можно определить путем установки софта, который либо сканирует входящий и исходящий трафик и пытается разобраться, нет ли лишних соединений, либо анализирует запущенные в системе процессы. Что касается косвенных признаков, они могут сигнализировать о проблеме, но не указывают на нее однозначно. «Если речь идёт о FinSpy, которая читает переписку, она, условно говоря, потребляет энергию и трафик примерно как Telegram. То есть она не будет включать ничего, что сжирало бы батарею и трафик. Поэтому по косвенным признакам ее обнаружить невозможно», — сказал Шакиров. 

В лаборатории кибербезопасности Group-IB Daily Storm подтвердили факт существования шпионского софта, обнаружить который, не будучи специалистом, невозможно. «В случае с использованием шпионской программы Pegasus, которая проникала через уязвимость в старых версиях мессенджера WhatsApp, обычному пользователю выявить заражение невозможно. Удалить зараженный вирус можно, только осуществив полную перепрошивку смартфона (сброс до заводских настроек не работает), — это касается и Android, и iPhone. Что касается банковских троянов и финансового фрода, то часто о них узнают слишком поздно — когда деньги уже были украдены», — сообщил Daily Storm заместитель руководителя лаборатории компьютерной криминалистики Group-IB Сергей Никитин.

Еще драматичнее проблему обрисовал Daily Storm основатель компании Dr.Web Игорь Данилов: «Человек никак не сможет определить, есть ли на его телефоне шпионское ПО. Могут быть разные программы: вшитые в телефон и установленные. И если в телефон внедрена хорошая программа, он не будет ни греться, ничего. Так человек и будет ходить со своим телефоном, компьютером или планшетом». 

Какую информацию о вас может узнать шпионский софт? 

Если совсем вкратце, то абсолютно любую. Да, и секретные чаты тоже. 

Существуют шпионские программы, которые получают полный доступ к телефону. Вредонос может перехватывать все данные, которые вводятся с клавиатуры, делать скриншоты и снимки экрана любых чат-программ… все, что вы вводите и читаете с экрана. Не важно, секретный или не секретный чат: злоумышленник может делать с вашим телефоном абсолютно все, что можете делать с ним вы. Писать звук они тоже могут. 

Кто и для чего все это делает? 

Основная мотивация киберпреступников — конечно, деньги. «Этим занимаются в первую очередь киберпреступники с финансовой мотивацией. Есть группировки, которые занимаются кибершпионажем: им не так важна финансовая информация, которая есть у пользователя на устройстве, им важно просто следить за ним, получать доступ к его служебным данным, научно-техническим разработкам либо его приватным фотографиям и другой информации, чтобы потом использовать их для шантажа. Здесь широкое поле для деятельности киберпреступников, чем они и занимаются», — пояснил представитель «Лаборатории Касперского». При этом Сергей Ложкин отметил, что кибершпионских программ — меньшинство по сравнению с теми же банковскими троянами. 

В лаборатории Group-IB сообщили, что подобные программы также используются криптомайнерами. Софт в фоновом режиме «смотрит» ролики и накручивает просмотры. 

По словам Станислава Шакирова, «самое критичное — воровство банковской информации, шифрование диска с целью шантажа и фишинг, когда у пользователя воруются логины и пароли». Причем при помощи подобных приложений злодеи научились обходить даже двухфакторную аутентификацию. 

«Есть и другой способ — когда гаджеты заражаются троянами, которые просто ходят на определенные сайты с целью DDoS-атак, — это ботсеть. Так называемая command and control софтина заливается на гаджет и по указке злоумышленника отправляет его на определенный сайт. Когда хакеру приходит запрос на DDoS-атаку, он посылает на все устройства, где установлена такая программа, сигнал «зайти одновременно на такой-то сайт» — и сайт падает под нагрузкой 10, 100 тысяч или миллиона устройств. На этом тоже зарабатывают деньги», — объяснил основатель общественной организации «Роскомсвобода». 

Однако скоро такая практика уйдет в прошлое. «Вскоре такие атаки будут делаться через интернет вещей, потому что никто не меняет пароли на всяких розетках и кофеварках и никто не заморачивается, как это работает», — заявил Станислав Шакиров. 

Серьезные игры

Есть и еще одна цель у подобных приложений — шпионаж на государственном уровне или в политических целях. 

«Это уже точечные штуки. Этим могут заниматься спецслужбы либо это может быть промышленный шпионаж. Есть дешевые методы, такие как тот же FinSpy. Есть дорогие: например, покупать «уязвимости нулевого дня», — рассказал Станислав Шакиров. 

«Уязвимость нулевого дня», или Zero Day уязвимость, — ошибка в программе или операционной системе, про которую не знает разработчик. Такая ошибка позволяет удаленно заразить устройство вредоносным ПО и используется хакерами до того момента, пока разработчик не обнаружит и не устранит ее.

«Существует черный рынок, где тусуются хакеры, которые занимаются взломом всего подряд. Им хочется заработать денег. На этих же форумах тусуются представители спецслужб, которые эти «уязвимости нулевого дня» покупают и могут ломать тех, кто им интересен. В основном речь идет действительно о «плохих парнях» — типа террористов или преступников, но точно так же все спецслужбы всех стран мира «ломают» оппозиционеров», — сказал представитель «Роскомсвободы». 

«Для продажи «уязвимостей нулевого дня» есть даже определенные компании. Например, в Израиле есть фирма под названием NSO Group — это выходцы из моссадовских кибервойск. Они сделали коммерческую компанию и различным государствам продают набор этих Zero Day уязвимостей через одобрение правительства Израиля. А дальше эти государства, помимо террористов, ловят политических оппонентов. Недавняя история, когда убили саудовского журналиста в турецком посольстве, была осуществлена после продажи уязвимостей Саудовской Аравии. Используются ли продаваемые израильтянами «уязвимости нулевого дня» российскими спецслужбами, неизвестно. Известно, что напрямую в Россию они ничего не продавали. Но какая-нибудь Саудовская Аравия, купив это для себя, гипотетически может аутсорсить это другим спецслужбам», — сообщил Станислав Шакиров. 

Основатель компании Dr.Web Игорь Данилов также считает, что за простыми гражданами следят государства и корпорации. «Информация о всех людях нужна всем государствам: и нашим секретным службам, и китайским, — всем нужна. Они все следят за нами. И «ВКонтакте», и так далее — все следят. Социальные сети для чего нужны? Для того чтобы следить за пользователями», — указал Данилов. 

Причем иногда шпионское ПО ставится на мобильные устройства прямо на заводах-производителях, утверждает эксперт.  

«Почему американцы выгнали отовсюду Huawei? Потому что они ставили на свои телефоны всякие плохие... Подробнее я рассказать не смогу, на телефон ставится программное обеспечение, которое следит за пользователем. Они слушают разговоры, перехватывают сообщения, СМС и все, что вы делаете на телефоне, — все перехватывают. Я не знаю, что там было реально с Huawei, но американцы их поймали на том, что у них были разработки против американцев. И они запретили в свои магазины и так далее... Google запретила с ней сотрудничать Huawei. Поэтому он может сейчас вылететь с рынка. Он пытается с нами заключить договор, чтобы мы его продавали, но не знаю, зачем нам этот Huawei нужен. Были и другие производители замечены. И ATM шли с установленным на заводах ПО», — заявил Данилов. 

Как вредоносный софт попадает на телефоны? 

Вредоносный софт может оказаться на вашем мобильном устройстве либо удаленно, если вы скачаете зараженный софт напрямую или нажмете на зараженную ссылку, либо если ваш телефон окажется непосредственно в руках злоумышленника. 

«iPhone, если на нем не было джейлбрейка, безопаснее Android по той причине, что в нем нельзя скачивать все подряд. Зараженные приложения не могут влезть в операционную систему. Устройства на Android более подвержены заражению, так как на них можно ставить все что угодно. Как следствие, все и ставят все что угодно, это заносит вирусы. Там может быть такое, что приходит СМС, пользователь ткнул на нее, и пошло-поехало. Это вопрос бизнес-модели: часто люди выбирают Android именно потому, что там можно делать все что угодно», — сказал Станислав Шакиров.

По словам представителя «Роскомсвободы», большинство вирусов пишется под Android и Windows в связи с архитектурными особенностями систем. «Статистика по заражаемости мне неизвестна, но она логически следующая: если ты соблюдаешь информационную гигиену, ты не заражаешься. Если ты ее не соблюдаешь, ты сто процентов заражаешься», — отметил он. 

Аналогичного мнения придерживается представитель «Лаборатории Касперского»: «iPhone гораздо лучше защищен, и возможность заражения его удаленно — на порядки ниже, чем возможность заражения того же Android-устройства. Чтобы заразить iPhonе подобными кибершпионскими приложениями, нужно иметь «уязвимость нулевого дня», но найти такие уязвимости крайне сложно, и стоит это достаточно дорого. А так, нужно иметь физический доступ к телефону, причем устройство должно было быть подвергнуто джейлбрейку, и тогда можно установить что угодно и куда угодно»

Сергей Ложкин отметил, что удаленное заражение iPhone осуществить гораздо проще, если телефон был подвергнут джейлбрейку, то есть взломан.

По словам представителя «Лаборатории», для установки вредоносных приложений на телефон зачастую используется следующая схема: «Создается приложение — мобильная игра, что-то музыкальное — не важно. Функционал у приложения может быть любой. Причем это приложение может быть вполне рабочим. Его различными способами пытаются раскрутить, сделать ему рекламу. Такие программы успешно проходят модерацию в маркете, в том же Google Play. Через определенное время киберпреступники его модернизируют, изменяют его функционал на вредоносный, и в виде апдейта приложение, которое изначально было абсолютно легитимным, неожиданно становится вредоносным. Другой способ — если есть уязвимость в программном обеспечении: можно послать картинку, сообщение или вредоносную ссылку, на которую пользователь перейдет, и если есть уязвимость в операционной системе, в том же Android, она будет проэксплуатирована, и ему удаленно закачается то же вредоносное приложение». 

Магазины приложений как основная лазейка

Скачать вредоносное приложение на смартфон, как оказалось, проще простого: специализированные маркеты хоть и относительно защищены от вредоносного программного обеспечения, но глобально имеют достаточно высокий процент уязвимости. 

Компания Positive Technologies, противодействующая киберугрозам, недавно провела исследования безопасности приложений на двух основных магазинах для iOS и Android: App Store и Google Play. Результаты оказались не слишком приятными: 43% приложений в Google Play и 35% приложений в App Store подвержены критическим уязвимостям. 

И дело тут не в том, что приложения попадают в маркеты уже зараженными, — такое едва ли возможно, учитывая, что все они проходят модерацию со стороны обеих платформ.

Сергей Ложкин — старший антивирусный эксперт «Лаборатории Касперского», подчеркнул, что изначально приложения попадают в магазины вполне легитимными и безопасными, но впоследствии могут трансформироваться в опасные.

«Через определенное время киберпреступники его могут модернизировать, изменить функционал. Приложение, которое когда-то было полностью легитимным, становится вредоносным», — объяснил Ложкин.

Одним из признаков, по которым можно вычислить подобное ПО, — невысокий рейтинг и небольшое количество скачиваний. Однако тут многое зависит как раз таки от маркета, с которым все может быть не так уж и просто.

Многие наверняка никогда и не пользовались ничем, кроме привычных App Store или Google Play, но на рынке существуют также и довольно крупные и популярные альтернативные магазины вроде Amazon Appstore, Opera Mobile Store, SlideME или того же Яндекс.Store. 

Amazon и «Яндекс», например, проводят активную премодерацию и проверку на наличие вредоносного кода. SlideME, в свою очередь, проверяет только каждое третье приложение. Но это еще не самый плохой сценарий.

Существует еще так называемая альтернативная альтернатива с более мелкими и совсем слабо регулируемыми магазинами. Шанс подцепить зараженное ПО на таких платформах еще выше.

«Мониторить неофициальные маркеты очень сложно, хоть это и делается, но отслеживать среди миллионов приложений именно вредоносное — задача не из легких», — продолжил Ложкин.

Одни из самых проблемных магазинов в это смысле — китайские. За последнее время на азиатском рынке то и дело выявляют опасные приложения.

Так, через ресурс 9Apps, который принадлежит китайской компании Alibaba Group, было заражено порядка 25 миллионов смартфонов по всему миру. 

Пострадали пользователи Android, которые скачивали различные приложения, например фоторедакторы или игры, в которых был зашит вредоносный код под названием «Агент Смит». Важно, что в этом случае принцип «мало скачиваний, низкий рейтинг» не работал: все ПО имели высокий рейтинг и подозрений не вызывали.

«Агент Смит» маскировался под иконки WhatsApp или одного из браузеров. При активации их пользователями в программах появлялось большое количество навязчивой рекламы.

Вирус, однако, пошел дальше: опасные приложения с «агентом» чуть позже были выявлены и в официальном Google Play.

В этом смысле App Store ведет более жесткую политику по сравнению с основным конкурентом. В конце 2018 года Apple вычистила 718 приложений из китайской версии магазина.

Проблемой стала даже не какая-то конкретная категория, а в целом политика китайских разработчиков ПО, которые не желали согласовывать с Apple обновления своих приложений, напрямую предоставляя их своим пользователям. 

Помимо того что это противоречило регламенту, такие действия представляли собой угрозу безопасности: не имея возможности проверить обновление, App Store фактически пускал бы в свой магазин неизвестно что с непонятными последствиями.

Именно поэтому Apple приняла такое радикальное решение и выдворила с платформы всех нарушителей, чтобы избежать дальнейшей эскалации порочной практики.

Глобально ситуация с китайскими приложениями выглядит довольно пугающе. 

Израильские специалисты по кибербезопасности из Check Point весной этого года выкатили целый обзор, как по рынку КНР, так и по Google Play, где сообщили о том, что только за последнее время вредоносное ПО скачали более 250 миллионов раз.

За период исследований эксперты обнаружили сотни опасных приложений, которые не только атаковали пользователей назойливой рекламой, но и похищали персональные данные. 

Например, вредоносный код SimBad был замаскирован аж в 210 играх-симуляторах. Он заполнял приложение большим количеством рекламы, влияя на скорость работы телефона. При этом удалить приложение было крайне сложно. 

Более того, данное ПО могло само по себе открывать Google Play, 9Apps или браузеры и скачивать различные вредоносные файлы. 

Пострадали пользователи и от приложений, которые были заточены на сбор личной информации. В основном скачивание происходило с популярных китайских маркетов Tencent MyApp, Wandoujia, Huawei AppGallery и Mi Store от Xiaomi.

По мнению Check Point, злоумышленники пользовались тем, что разработчики спешили загрузить приложения в магазины без дополнительных проверок безопасности.

К сожалению, чтобы магазин имел возможность выявить вредоносное приложение, от него так или иначе должны пострадать пользователи. Ложкин отметил, что, как правило, на обнаружение может уйти как несколько часов, так и несколько дней. 

С точки зрения Google Play — ресурс за последние годы сделал многое, чтобы максимально ограничить поступление нежелательного ПО на свою платформу, но при этом вопрос безопасности по большей части все еще зависит от самого пользователя.

Руководитель группы исследований безопасности мобильных приложений Positive Technologies Николай Анисеня в комментарии для Daily Storm указал, что владельцы смартфонов всегда должны помнить: 100% защиты от опасных приложений не бывает, но у каждого есть возможно снизить возможности киберпреступника.

«Не повышайте привилегии на смартфонах. Это отключает механизмы защиты данных. Не устанавливайте приложения, требующие слишком много разрешений (Android, iOS), проводите ревизию выданных разрешений и отзывайте их — либо удаляйте приложения (Android)», — посоветовал Анисеня.

Не стоит доверять и сторонним магазинам мобильных приложений. Подозрительные программы (например, якобы «взломанные» бесплатные версии коммерческих приложений) могут содержать вредоносный код.

Что делать, если я знаю, что мой телефон заражен шпионским софтом? 

Большинство экспертов сходятся во мнении, что для избавления от вредоносов необходимо вернуть устройство к заводским установкам. 

«Способов, которые действительно помогут, немного, и они затратны, потому что надо полностью уничтожить все, что было на телефоне, то есть обновить операционную систему и с нуля использовать телефон. Это для пользователей сопряжено с определенными трудностями: нужно резервировать все, что было, — данные, различными программами для бекапа копировать — либо вручную переносить все данные и потом заново устанавливать все приложения, заново устанавливать информацию на телефон», — сказал Сергей Ложкин. 

В лаборатории кибербезопасности Group-IB рекомендуют регулярно обновлять операционную систему, не загружать приложения из недостоверных источников, не переходить по ссылкам, которые вам присылают.

«Если гаджет не обновляется и его поддержка завершена производителем — это повод его сменить. Если у вас есть серьезные сомнения по поводу заражения, рекомендуется сделать полный сброс устройства и настроить его как новое, устанавливая только проверенные приложения из официального магазина приложений», — посоветовал Сергей Никитин.

В то же время все эксперты рекомендуют действовать превентивно и своевременно устанавливать антивирусные программы, особенно на устройства на базе Android.