С Android всё ровно наоборот, чем с iPhone. В iOS изолированная среда настолько строгая, что ни одно приложение не может просканировать систему, — поэтому антивирусы для iPhone и не способны на то, что обещают их описания. На Android вам разрешено заглянуть в несколько по-настоящему важных мест, и большинство из них — обычные экраны настроек, которые можно открыть прямо сейчас.

Эта же открытость объясняет, почему на Android больше сталкерского ПО. Любой, кто может разблокировать ваш телефон на пять минут, способен установить приложение не из Google Play, выдать ему нужные разрешения и скрыть его значок. Никаких эксплойтов, никакого взлома системы, никаких технических навыков. Только ваш код разблокировки и несколько минут наедине с вашим устройством.

В этом руководстве — что вы можете проверить сами и в каком порядке это стоит делать, а затем — то единственное, что приходится делать с компьютера.

Прежде чем начать, если вы думаете, что знаете, кто следит

Если вы подозреваете партнёра, бывшего партнёра, родственника или работодателя, прочитайте раздел о безопасности ближе к концу статьи, прежде чем менять хоть одну настройку. Некоторые приложения слежки оповещают того, кто их установил, когда их отключают, а в ситуации, где вас контролируют, такое оповещение может сделать только хуже. Ничто из описанного ниже не настолько срочно, чтобы этот раздел пропустить.

Как на самом деле работает сталкерское ПО на Android

Почти все коммерческие приложения слежки для Android опираются на одни и те же три функции. Это законные части платформы, созданные для реальных задач, и именно благодаря им такие программы могут следить почти за всем, ничего не взламывая.

Специальные возможности. Это разрешение создано для того, чтобы работали программы чтения с экрана: оно позволяет приложению видеть содержимое экрана и то, что вы вводите. Ровно это и нужно для кейлоггинга — перехвата нажатий клавиш. Если вы проверите на этой странице только одно, проверьте это.

Доступ к уведомлениям. Через это разрешение проходит каждое уведомление, которое получает ваш телефон, включая полный текст сообщений из приложений, которые программа слежки иначе прочитать не может.

Администратор устройства. Эта функция задумана для управления корпоративными телефонами: она затрудняет удаление приложения и помогает ему сопротивляться попыткам его убрать.

Приложение слежки с этими тремя разрешениями не прячется в каком-то тёмном углу операционной системы. Оно сидит в ваших настройках, а рядом с ним записано ваше разрешение — потому что кто-то выдал его, держа в руках ваш телефон.

Семь проверок, которые вы можете провести сами

Названия меню различаются у Samsung, Pixel, Xiaomi и других производителей. Если путь ниже не совпадает с тем, что вы видите на своём телефоне, откройте «Настройки» и введите в строку поиска вверху слова, выделенные жирным.

1. Запустите Play Protect и проверьте, не был ли он выключен

Откройте Google Play, нажмите на значок своего профиля, затем Play Protect и запустите проверку. Он отметит известные приложения слежки.

Ещё показательнее другое: не был ли он уже отключён. Play Protect включён по умолчанию, предупреждает об установке приложений не из Google Play, и отключить его можно только намеренно. Если он выключен, а вы этого не делали, значит, кто-то хотел, чтобы установка прошла незамеченной.

2. Изучите список специальных возможностей

Откройте «Настройки», затем Специальные возможности и найдите скачанные или установленные службы. На обычном телефоне этот список пуст или содержит то, что вы выбрали сами: программу чтения с экрана, экранную лупу, менеджер паролей, лаунчер.

Всё, что вы здесь не устанавливали, требует объяснения. Названия нарочно подбирают так, чтобы они выглядели скучно: что-то вроде System Service, Device Health, Update Manager, Sync Services или Accessibility Helper. Настоящий системный компонент не появится в разделе скачанных служб на этом экране.

3. Проверьте доступ к уведомлениям

«Настройки», затем «Уведомления», затем раздел с уведомлениями приложений или «Специальный доступ», затем Доступ к уведомлениям. Логика та же: незнакомое приложение с правом читать каждое уведомление на вашем телефоне — серьёзная находка.

4. Посмотрите приложения администратора устройства

«Настройки», затем «Безопасность», затем Приложения администратора устройства. На большинстве личных телефонов этот список либо пуст, либо содержит «Найти устройство». В рабочем профиле там вполне законно может быть инструмент управления от вашего работодателя. Незнакомое приложение с правами администратора устройства — это и тревожный сигнал, и объяснение, почему попытка удалить его раньше могла не удаться.

5. Пройдитесь по специальному доступу

«Настройки», затем «Приложения», затем Специальный доступ. Стоит изучить пункты «Поверх других приложений», «Доступ к истории использования», «Установка неизвестных приложений» и «Доступ ко всем файлам». Программам слежки обычно нужны сразу несколько из них. Доступ к истории использования особенно важен: он показывает, какие приложения видят всё, что вы открываете, и как долго.

6. Найдите приложения, которых нет на главном экране

Приложение может скрыть свой значок, так что пролистывание рабочего стола ничего не доказывает. Откройте «Настройки», затем «Приложения», затем Показать все приложения и включите в меню показ системных приложений. Список длинный, и почти всё в нём законно, поэтому искать стоит две конкретные вещи:

Две копии того, что должно быть в единственном экземпляре, особенно калькулятора, файлового менеджера, заметок или системной утилиты. Двойник — классическая маскировка.
Любое приложение, название которого вы не можете объяснить. Прежде чем паниковать, поищите точное название в интернете, потому что почти всё в этом списке нормально, а затем проверьте его разрешения.

Заодно откройте Google Play, нажмите на значок профиля, затем Управление приложениями и устройством, затем вкладку «Управление», и переключите фильтр на приложения, установленные не из Google Play. Приложения, установленные в обход магазина, не обязательно вредны, но на телефоне, куда вы сами никогда ничего так не ставили, у каждой такой записи должна быть причина.

7. Сравните расход батареи и трафика с тем, как вы пользуетесь телефоном

«Настройки», затем «Батарея», затем расход заряда; потом «Настройки», затем «Сеть и интернет», затем использование мобильного трафика. Ищите приложение, которое вы никогда не открываете, но которое стоит в начале одного из списков, или фоновый трафик, не соответствующий вашим привычкам.

Считайте это самым слабым признаком — точно так же, как на iPhone. Стареющий аккумулятор, обновление системы или синхронизация фотоальбома после отпуска дают ту же картину. Это повод присмотреться внимательнее, но никогда не приговор.

Почему приложение на самом телефоне не может довести дело до конца

Всё перечисленное выше стоит сделать, и это выявляет немало реальной слежки. Но у этих проверок есть три ограничения, которые не преодолеет ни один сканер, установленный на телефон.

Приложения по-прежнему не могут читать друг друга. Android охотнее, чем iOS, показывает список установленного, но одно приложение не может прочитать личные данные другого. Сканер может сообщить, что подозрительный пакет существует. Открыть его и показать, что было собрано, он не может.

Сложные программы прячутся от тех самых экранов, которые вы только что проверили. Всё, что получило root-доступ, может убрать себя из списков приложений, скрыться от Play Protect и пережить удаление. Если на телефоне получен root, инструменты на этом телефоне больше не заслуживают доверия как свидетели.

Вы просите подозреваемого предоставить себе алиби. Если устройство скомпрометировано на глубоком уровне, каждый его ответ исходит от программ, которые может контролировать злоумышленник. Это проблема устройства как такового, и она одинакова для любой операционной системы.

Что даёт анализ с компьютера

Подключите телефон к компьютеру по USB и включите доступ для разработчика — и внешний инструмент сможет перечислить все установленные пакеты, прочитать системные журналы и сравнить всё это с известными индикаторами компрометации: названиями пакетов коммерческого сталкерского ПО, доменами, с которыми связываются программы слежки, сочетаниями разрешений, которые нужны только для слежки.

Главное здесь — где выполняется анализ. Компьютер не просит телефон оценить самого себя. Он читает содержимое телефона и делает собственные выводы. Именно поэтому этим методом пользуются исследователи, которые публикуют работы на эту тему. Security Lab организации Amnesty International поддерживает инструмент с открытым исходным кодом — Mobile Verification Toolkit, — который делает ровно это и для Android, и для iOS.

Но это ещё и инструмент командной строки, который ожидает, что вы установите пакеты Python, снимете резервную копию через ADB и разберётесь в криминалистическом отчёте. Метод надёжен и общедоступен; проблема — в расстоянии между встревоженным человеком и готовым анализом. Сократить это расстояние — для этого и существует Haris Shield: тот же внешний анализ и отчёт, написанный так, чтобы его можно было прочитать, а не расшифровывать.

Если вы что-то нашли, пока не удаляйте

Именно здесь ошибается большинство руководств, и это важнее всего, что написано выше.

Если за вами следит кто-то из вашего окружения, удаление приложения может оказаться самым опасным из ваших шагов. Многие программы оповещают того, кто их установил, в тот же момент, когда слежка прекращается. В отношениях с насилием или контролем такое оповещение сообщает другому человеку, что вы всё обнаружили, — в момент, к которому вы не готовы. Коалиция против сталкерского ПО (Coalition Against Stalkerware), объединяющая организации помощи пострадавшим от домашнего насилия и компании в сфере безопасности, прямо предупреждает об этом и называет вторую причину: удаляя приложение, вы удаляете и доказательства, которые могут понадобиться, если вы обратитесь в полицию.

Более безопасный порядок действий:

Пока ничего не меняйте на телефоне и ни с кем не выясняйте отношения.
Сначала получите совет — с устройства, к которому у этого человека никогда не было доступа. Организация помощи пострадавшим от домашнего насилия поможет спланировать порядок действий.
Задокументируйте то, что нашли. Криминалистический отчёт весит больше, чем снимок экрана.
Смените пароли и включите двухфакторную аутентификацию с другого устройства, начиная с аккаунта Google.
Решение об удалении принимайте в последнюю очередь, когда поддержка уже будет рядом.

Если никто из вашего окружения не мог бы этого сделать и похоже на обычное преступление, всё проще: обновите Android, удалите то, что нашли, смените пароль Google, завершите незнакомые сеансы и подумайте о сбросе до заводских настроек — без восстановления из резервной копии, которая может вернуть проблему обратно.

Как сделать телефон более трудной мишенью

Установите код разблокировки, который не знает никто, кроме вас, и проверьте, не добавлены ли лишние отпечатки пальцев: «Настройки», затем «Безопасность», затем «Отпечаток пальца». Почти всё это начинается с физического доступа к телефону.
Не отключайте Play Protect и время от времени проверяйте, что он по-прежнему включён.
Своевременно устанавливайте обновления — и Android, и системные обновления Google Play.
Не получайте root-доступ на телефоне и не позволяйте никому сделать это за вас.
Проверьте устройства в аккаунте Google на myaccount.google.com: тому, кто знает ваш пароль Google, приложение на телефоне вообще не нужно.
Относитесь к семейному доступу осознанно. Обычная передача геопозиции, однажды настроенная и забытая, объясняет очень многое из того, что люди воспринимают как слежку.

Коротко

Телефон на Android действительно можно проверить самостоятельно, и это стоит сделать: Play Protect, специальные возможности, доступ к уведомлениям, приложения администратора устройства, специальный доступ, полный список приложений, включая скрытые, а также расход батареи и трафика. Это покрывает большую часть коммерческого сталкерского ПО, потому что большинству таких программ нужны разрешения, которые видны на этих экранах.

Чего эти проверки не покрывают, так это программ с root-доступом или всего, что научило телефон лгать о самом себе. Для этого нужен анализ извне устройства.

И если вы подозреваете знакомого человека, получите совет, прежде чем трогать какие-либо настройки. Обнаружение — это лёгкая половина дела.

Источники

Coalition Against Stalkerware, Информация для пострадавших: stopstalkerware.org/information-for-survivors
Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re и github.com/mvt-project/mvt
Google, Play Protect: support.google.com/googleplay/answer/2812853
Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org

Как обнаружить шпионское ПО на Android: что вы действительно можете проверить